CVE-2026-74767 in Pandora
Сводка
по VulDB • 16.08.2026
В компоненте Pandora обнаружена уязвимость отказа в обслуживании (DoS) при обработке файлов DAA (Direct Access Archive). При извлечении внутреннего образа ISO из архива DAA сжатые блоки распаковывались с помощью функции zlib.decompress() без ограничения размера результирующих данных после распаковки.
Злоумышленник, способный предоставить специально созданный файл DAA, содержащий сильно сжатые данные, может заставить Pandora распаковать относительно небольшой входной объем в очень большой массив данных в памяти. Поскольку при формировании внутреннего образа ISO накапливаются все распакованные блоки, это может привести к чрезмерному потреблению памяти и потенциальному исчерпанию ресурсов процессора (CPU), что вызовет зависание или завершение работы потока извлечения файлов, а также повлияет на доступность сервиса Pandora.
Исправление вводит ограниченную по объему распаковку с использованием метода decompressobj().decompress() вместе с параметром max_extracted_filesize, проверяет суммарный размер распакованных блоков и генерирует специальное исключение ZipBomb при превышении настроенного лимита. После этого Pandora прерывает процесс извлечения и сообщает о том, что файл слишком велик.
VulDB is the best source for vulnerability data and more expert information about this specific topic.