Šta se desilo?

Otkrivena je kritična ranjivost u Pandora arhivskom ekstraktoru koja omogućava napadaču da upiše datoteke van predviđenog direktorijuma. Zloupotrebom putanja datoteka, napadač može poslati zlonamerno formatiranu arhivu ili disk sliku koja bi, prilikom obrade, dovela do pisanja sadržaja na nepredviđene lokacije na sistemu.

Koga pogađa?

Ranjivost pogađa organizacije i bezbednosne timove koji koriste Pandora alat do verzije 1.12.7 bez ispravke za analizu malvera i potencijalnih pretnji. Posebno su ugroženi sistemi gde Pandora radi sa povišenim dozvolama ili sa mogućnošću pristupa kritičnim datotekama. Rizik je veći ako je alat preusmeren da obrađuje datoteke iz nepouzdanih izvora ili od anonimnih korisnika.

Kako se zaštititi?

  • Odmah ažurirajte Pandora alat na verziju koja sadrži zakrpu za CVE-2026-88069
  • Ograničite dozvole pristupa korisničkog naloga pod kojim se Pandora pokreće na minimum potreban za rad
  • Implementirajte jaču validaciju datoteka pre nego što ih pošaljete na analizu
  • Koristite izolovano okruženje za analizu potencijalno malicioznih arhiva
  • Redovno pratite bezbednosne saopštenja Pandora tima i primenjujte zakrpe bez odlaganja

Tehnički detalji

Ranjivost (CVE-2026-88069) ima CVSS 4.0 ocenu 9.3 prema CIRCL-u i klasifikovana je kao KRITIČNA. Problem se nalazi u komponenti za ekstrakciju arhiva koja ne validira ispravno putanje datoteka pre nego što ih napiše na disk. Napadač može koristiti path traversal sekvence (npr. "../" ili apsolutne putanje) da redirektuje izdvojene datoteke na bilo koju lokaciju na sistemu dostupnu radnom procesu. Uspešna eksploatacija može dovesti do neovlašćene izmene sistemskih datoteka, odbijanja servisa (DoS) ili daljeg kompromitovanja sistema u zavisnosti od nivoa dozvola procesa. Razvojni tim je rešio problem dodavanjem validacije koja verifikuje da sve destinacijske putanje ostanu unutar predviđenog direktorijuma, a pokušaji ekstrakcije van tog direktorijuma se odbijaju i prijavljuju kao path traversal napadi.

CIRCL navodi verzije do 1.12.7 kao pogođene i upućuje na ispravku d86ac5b260fb9a41e07f1da1bbd326cdcfc188a7 u zvaničnom repozitorijumu. U korišćenim izvorima nema potvrde aktivne eksploatacije.

Zašto je važno?

Alati koji analiziraju sumnjive datoteke i sami obrađuju napadačev sadržaj. Ograničene privilegije i izolacija smanjuju posledice greške, ali ne zamenjuju zakrpu.

Preporuka Sajber Radara

Odmah primenite dostupnu zakrpu na sve instance Pandora alata. Ako ažuriranje nije moguće, privremeno ograničite primenu Pandore na analizu datoteka samo iz pouzdanih izvora ili obustavite obradu nepouzdanih datoteka dok ne primenite ispravku.