CVE-2026-97370

Nome do Software Vulnerável e Versões Afetadas Junrar versões anteriores a 7.6.1

Descrição Existe um problema na máquina virtual RAR onde um arquivo RAR4 manipulado pode forçar a thread de extração a entrar em um loop infinito de CPU determinístico. Isso ocorre porque a função RarVM.ExecuteCode em src/main/java/com/github/junrar/unpack/vm/RarVM.java pode executar repetidamente uma instrução VM JMP. Quando a função setIP() é chamada com um ponteiro de instrução de destino maior ou igual à variável codeSize, ela retorna sucesso sem atualizar o ponteiro de instrução ou decrementar a variável maxOpCount. Consequentemente, o manipulador de salto continua o loop, ignorando a contabilização de fim de loop e fazendo com que a thread gire indefinidamente. Isso leva a uma negação de serviço ao esgotar a capacidade dos trabalhadores de processamento de arquivos e consumir recursos de CPU. A máquina virtual RAR não expõe a execução de processos nativos, limitando o impacto à perda de disponibilidade.

Recomendações Atualizar para a versão 7.6.1.