CVE-2026-97370 in Junrar
Riassunto
di VulDB • 15/10/2026
Junrar è una libreria open source per archivi RAR scritta in Java. Prima della versione 7.6.1, il metodo `RarVM.ExecuteCode` nel file `src/main/java/com/github/junrar/unpack/vm/RarVM.java` può eseguire ripetutamente un'istruzione `VM_JMP` la cui destinazione è maggiore o uguale alla `codeSize` del programma preparato. La funzione `setIP()` restituisce successo senza modificare il puntatore all'istruzione né decrementare `maxOpCount`, e il gestore dell'jump continua prima della contabilizzazione end-loop, lasciando entrambi i valori invariati. Un archivio RAR4 appositamente creato può quindi mantenere un thread di estrazione in un ciclo infinito che consuma CPU ed esaurire la capacità dei worker per l'elaborazione degli archivi. La macchina virtuale RAR non espone l'esecuzione nativa del processo, pertanto l'impatto supportato è una perdita di disponibilità (availability loss) piuttosto che l'esecuzione di codice. Questo problema è stato risolto nella versione 7.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.