CVE-2026-24857: Estouro de Buffer em Heap no Decodificador RAR do Simsong bulk_extractor
A CVE-2026-24857 é um estouro de buffer em heap no código unrar embutido no Simsong bulk_extractor, a partir da versão 1.4. Um arquivo RAR malformado dentro de uma imagem de disco pode causar uma escrita fora dos limites, e o registro aponta potencial para execução remota de código. O registro indica que não havia correção conhecida na publicação, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A ferramenta de perícia digital Simsong bulk_extractor incorpora uma cópia de código unrar. Segundo o registro, um estouro de buffer em heap no caminho de decodificação RAR PPM LZ pode ser alcançado por um arquivo RAR elaborado dentro de uma imagem de disco, causando uma escrita fora dos limites em Unpack::CopyString. O registro classifica a fraqueza como CWE-787 (escrita fora dos limites).
Impacto
- O registro relata uma falha detectada pelo ASAN e afirma que builds de produção provavelmente travariam ou sofreriam corrupção de memória.
- O registro aponta potencial para execução remota de código. A NVD atribui 9,8 pelo CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário.
- O GitHub, como CNA, atribuiu 5,5 pelo CVSS 4.0.
Produtos e versões afetadas
- Simsong Bulk Extractor, a partir da versão 1.4, segundo o registro.
- O registro não informa limite superior nem versão corrigida.
Status de exploração
- O registro mostra que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
- Uma referência está marcada como 'Exploit' nos metadados do registro. Essa marcação, por si só, não confirma exploração no ambiente real.
Correção e mitigação
- O registro afirma que não havia correções conhecidas na publicação. Consulte o aviso do GitHub para verificar atualizações posteriores.
- Até que uma correção seja confirmada, evite processar conteúdo RAR de imagens de disco não confiáveis ou desconhecidas nas versões afetadas.
- Execute a análise forense em ambientes isolados e descartáveis, com privilégios limitados e rede restrita.
- Mantenha as estações de análise separadas de redes e credenciais sensíveis.
Orientação para detecção
- Monitore os hosts de análise em busca de falhas ou reinícios inesperados do bulk_extractor.
- Registre a origem das imagens de disco e arquivos enviados para exame, para rastrear entradas suspeitas.
- Revise as estações de análise em busca de processos filhos ou gravações de arquivos inesperadas durante as extrações.
Limitações das informações disponíveis
- O registro não contém versão corrigida, correção ou orientação de remediação confirmada pelo fornecedor.
- O registro descreve RCE apenas como potencial e não demonstra explorabilidade além da falha detectada pelo ASAN.
- Não há dados de EPSS ou SSVC no registro.
Perguntas frequentes
Quais versões do bulk_extractor são afetadas pela CVE-2026-24857?
O registro indica o Simsong Bulk Extractor a partir da versão 1.4. Não informa limite superior nem versão corrigida.
A CVE-2026-24857 é explorada ativamente?
O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A marcação 'Exploit' em uma referência não confirma exploração no ambiente real.
O que administradores podem fazer enquanto não há correção listada?
Evitar processar conteúdo RAR de imagens de disco não confiáveis, executar a análise em ambientes isolados com privilégios mínimos e acompanhar o aviso do GitHub para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.