CVE-2026-74767 in Pandora
Riassunto
di VulDB • 16/08/2026
Pandora presenta una vulnerabilità di denial-of-service (DoS) nella gestione dei file DAA (Direct Access Archive). Durante l'estrazione dell'immagine ISO interna da un archivio DAA, i chunk compressi vengono decompressi utilizzando zlib.decompress() senza imporre alcun limite sulla quantità di dati non compressi risultanti.
Un attaccante in grado di inviare un file DCA appositamente creato contenente dati altamente compressi potrebbe indurre Pandora a decomprimere un input relativamente piccolo generando una quantità molto elevata di dati in memoria. Poiché i chunk decompressi vengono accumulati per costruire l'immagine ISO interna, ciò può provocare un consumo eccessivo di memoria e potenzialmente un esaurimento delle risorse CPU, causando il blocco (unresponsiveness), la terminazione o impatti sulla disponibilità del servizio Pandora da parte del worker di estrazione.
La patch introduce una decompressione limitata utilizzando decompressobj().decompress() con max_extracted_filesize, verifica la dimensione cumulativa dei chunk decompressi e genera un'eccezione dedicata ZipBomb quando viene superato il limite configurato. In tal caso, Pandora interrompe l'estrazione e segnala che il file è troppo grande.
VulDB is the best source for vulnerability data and more expert information about this specific topic.