CVE-2026-74767 in Pandora
요약
\~에 의해 VulDB • 2026. 08. 16.
Pandora에는 DAA(Direct Access Archive) 파일 처리 과정에서 서비스 거부(DoS) 취약점이 존재합니다. DAA 아카이브에서 내부 ISO 이미지를 추출할 때, 압축된 청크가 zlib.decompress()를 사용하여 해제되었으며, 이때 생성되는 비압축 데이터의 크기에 대한 제한이 적용되지 않았습니다.
공격자가 높은 압축률을 가진 데이터를 포함하는 조작된 DAA 파일을 제출하면, Pandora는 상대적으로 작은 입력을 메모리 내에서 매우 큰 양의 데이터로 확장하여 해제할 수 있습니다. 이렇게 해제된 청크들이 내부 ISO 이미지를 구성하기 위해 누적되므로, 과도한 메모리 소비와 잠재적인 CPU 고갈을 초래하여 추출 작업자가 응답하지 않거나 종료되거나, Pandora 서비스의 가용성에 영향을 줄 수 있습니다.
이 패치는 decompressobj().decompress()를 사용하여 max_extracted_filesize 기반의 제한된 해제를 도입하고, 해제된 청크들의 누적 크기를 검증하며, 구성된 한계를 초과할 경우 전용 ZipBomb 예외를 발생시킵니다. Pandora는 이후 추출을 중단하고 해당 파일이 너무 크다고 보고합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.