Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4

Veille sécuritéBackend & données

P3Élevée

Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui peut épuiser les ressources des processus d’extraction. La correction est disponible dans Junrar 7.6.1; mettez à niveau et évitez de traiter des archives non fiables avec des versions vulnérables.

IdentifiantCVE-2026-97370

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif7.6.1

Source : NVD — CVE-2026-97370

Analyse technique

Dans RarVM.ExecuteCode, une instruction VM_JMP avec une cible hors des limites du programme peut laisser inchangés le pointeur d’instruction et le compteur maximal d’opérations, provoquant une boucle infinie. La VM ne fournit pas d’exécution de code natif; l’impact décrit est une perte de disponibilité.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-15, hors période, mais sa modification substantielle du 2026-10-16T20:04:29.760Z est dans la période; l’item est retenu pour ce changement.

ImpactUne archive RAR4 spécialement conçue peut bloquer un thread d’extraction et épuiser la capacité de traitement.

Versions affectéesVersions antérieures à 7.6.1

Version corrigée7.6.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,40% · percentile 32,9%

Publication2026-10-15T19:17:49.983Z

Mise à jour2026-10-16T20:04:29.760Z

Action recommandée

Mettre à niveau Junrar vers la version 7.6.1 ou ultérieure et limiter le traitement d’archives RAR non fiables aux versions corrigées.

Sources

NVD — CVE-2026-97370

Priorisation DFS : P3 · 1 source(s).