In der Windows-Version von WinRAR können Angreifer eine Sicherheitslücke missbrauchen, um eingeschleusten Schadcode auszuführen. Eine Beta-Version steht als Aktualisierung bereit, die die Schwachstelle ausbessert.

In der Ankündigung der Beta-Version beschreiben die WinRAR-Entwickler die Lücke sehr oberflächlich als "beim Extrahieren von Dateien kann WinRAR, RAR, UnRAR, portable UnRAR sowie die UnRAR.dll dazu gebracht werden, einen Pfad zu nutzen, der in einem manipulierten Archiv vorgegeben wird, anstatt einen Nutzer-vorgegebenen Pfad zu verwenden". Die Entdecker des Sicherheitslecks bei Trend Micros Zero-Day-Initiative werden hingegen etwas präziser: "Der spezielle Fehler besteht im Umgang mit Pfaden innerhalb von Archiv-Dateien. Ein präparierter Dateipfad kann dazu führen, dass der Prozess in nicht vorgesehene Verzeichnisse wandert (traverse). Angreifer können das missbrauchen, um Schadcode im Kontext des aktuellen Users auszuführen" (CVE-2025-6218 / noch kein EUVD, CVSS 7.8, Risiko "hoch").

WinRAR: Aktualisierte Fassung stopft Sicherheitsleck

Die WinRAR-Entwickler betonen, dass der Fehler die Windows-Versionen der Software betrifft. "Unix-Versionen von RAR, UnRAR, portable UnRAR Quellcode und die UnRAR-Bibliothek sowie RAR für Android sind nicht betroffen". Die Beta-Version schließt noch weitere Sicherheitslücken. So konnte beim Erstellen von Reports der Dateiname ungefiltert in die Berichts-HTML-Datei einfließen, was das Einschleusen von unsicheren HTML-Tags ermöglichte. Die Ersetzung der "< >"-Zeichen für Tags durch Strings für die Symbole korrigiert das Problem.

Auf der Download-Seite von WinRAR ist die Beta-Version recht unscheinbar über der Dateiliste mit Suchfiltern einsortiert. Sie lässt sich hier direkt herunterladen. Die Beta-Version verschwindet jedoch umgehend, sofern die Entwickler die finale Version von WinRAR 7.12 online stellen.

Bereits WinRAR 7.11 hatte eine Sicherheitslücke geschlossen. Ein präparierter symbolischer Link konnte dazu führen, dass der Mark-of-the-Web-Mechanismus (MotW) nicht griff, wodurch beim Ausführen und Öffnen potenziell gefährlicher entpackter Dateien aus dem Internet keine Warnmeldung von Windows erscheint.