CVE-2026-97370 in Junrar
Zusammenfassung
von VulDB • 15.10.2026
Junrar ist eine Open-Source-Java-Bibliothek für RAR-Archive. Vor Version 7.6.1 kann `RarVM.ExecuteCode` in `src/main/java/com/github/junrar/unpack/vm/RarVM.java` die Anweisung `VM_JMP` wiederholt ausführen, deren Ziel größer oder gleich dem vorbereiteten CodeSize des Programms ist. Die Funktion `setIP()` gibt Erfolg zurück, ohne den Instruction Pointer zu ändern oder `maxOpCount` zu dekrementieren, und der Jump-Handler wird vor der Schleifenendabrechnung fortgesetzt, wodurch beide Werte unverändert bleiben. Ein speziell angefertigtes RAR4-Archiv kann daher einen Extraktions-Thread in einer endlosen CPU-Schleife halten und die Kapazität der Worker für die Archivverarbeitung erschöpfen. Die RAR-Virtual Machine bietet keine native Prozessausführung, sodass die unterstützte Auswirkung ein Verfügbarkeitsverlust (Availability Loss) ist und nicht die Code-Ausführung. Dieses Problem wurde in Version 7.6.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.