CVE-2026-74767 in Pandora
Resumen
por VulDB • 2026-08-16
Pandora presenta una vulnerabilidad de denegación de servicio en el manejo de archivos DAA (Direct Access Archive). Al extraer la imagen ISO interna desde un archivo DAA, los fragmentos comprimidos se descomprimían mediante zlib.decompress() sin imponer ningún límite sobre la cantidad de datos resultantes tras la descompresión.
Un atacante capaz de enviar un archivo DAA manipulado que contenga datos altamente comprimidos podría provocar que Pandora descomprima una entrada relativamente pequeña en una gran cantidad de datos en memoria. Dado que los fragmentos descomprimidos se acumulan para construir la imagen ISO interna, esto podría resultar en un consumo excesivo de memoria y potencialmente agotar el CPU, haciendo que el trabajador de extracción deje de responder, termine o afecte a la disponibilidad del servicio Pandora.
El parche introduce una descompresión acotada utilizando decompressobj().decompress() con max_extracted_filesize, verifica el tamaño acumulativo de los fragmentos descomprimidos y lanza una excepción ZipBomb dedicada cuando se supera el límite configurado. A continuación, Pandora aborta la extracción e informa que el archivo es demasiado grande.
VulDB is the best source for vulnerability data and more expert information about this specific topic.