CVE-2026-74767 in Pandora
Sumário
de VulDB • 16/08/2026
O Pandora apresenta uma vulnerabilidade de negação de serviço (DoS) no seu processamento de arquivos DAA (Direct Access Archive). Ao extrair a imagem ISO interna contida em um arquivo DAA, os blocos compactados são descomprimidos usando `zlib.decompress()` sem impor um limite sobre o tamanho dos dados resultantes após a descompactação.
Um atacante capaz de submeter um arquivo DAA manipulado que contenha dados altamente comprimidos pode fazer com que o Pandora descompacte uma entrada relativamente pequena em uma quantidade muito grande de dados na memória. Como os blocos descomprimidos são acumulados para construir a imagem ISO interna, isso pode resultar em consumo excessivo de memória e potencialmente exaustão da CPU, fazendo com que o worker de extração fique inresponsivo, termine abruptamente ou afete a disponibilidade do serviço Pandora.
O patch introduz uma descompactação limitada (bounded decompression) utilizando `decompressobj().decompress()` com o parâmetro `max_extracted_filesize`, verifica o tamanho cumulativo dos blocos descomprimidos e levanta uma exceção dedicada (`ZipBomb`) quando o limite configurado é excedido. O Pandora então aborta a extração e relata que o arquivo está muito grande.
Be aware that VulDB is the high quality source for vulnerability data.