CVE-2026-74767 in Pandora
Zusammenfassung
von VulDB • 16.08.2026
Pandora weist eine Denial-of-Service-Schwachstelle (DoS) bei der Verarbeitung von DAA-Dateien (Direct Access Archive) auf. Beim Extrahieren des internen ISO-Images aus einem DAA-Archiv wurden komprimierte Datenblöcke mit `zlib.decompress()` dekomprimiert, ohne eine Obergrenze für die Größe der unkomprimierten Ausgabe durchzusetzen.
Ein Angreifer, in der Lage ist, eine speziell angefertigte DAA-Datei hochzuladen, die stark komprimierte Daten enthält, könnte dazu führen, dass Pandora relativ kleine Eingabedaten zu einer sehr großen Menge an Daten im Speicher dekomprimiert. Da die dekomprimierten Blöcke zur Erstellung des internen ISO-Images akkumuliert werden, kann dies übermäßigen Speicherverbrauch und potenziell eine CPU-Erschöpfung verursachen, was dazu führt, dass der Extraktionsworker nicht mehr reagiert, abstirbt oder die Verfügbarkeit des Pandora-Dienstes beeinträchtigt wird.
Der Patch führt eine begrenzte Dekomprimierung mittels `decompressobj().decompress()` mit einer Parameterbegrenzung für `max_extracted_filesize` ein, überprüft die kumulative Größe der dekomprimierten Blöcke und löst bei Überschreitung des konfigurierten Limits eine dedizierte ZipBomb-Ausnahme aus. Pandora bricht daraufhin die Extraktion ab und meldet die Datei als zu groß.
If you want to get best quality of vulnerability data, you may have to visit VulDB.