На 7 август бяха публикувани коригиращи версии на свободния антивирусен пакет ClamAV 1.5.4 и 1.4.6. Основното внимание в новите версии е насочено към сигурността: в актуалната версия 1.5 са затворени осем CVE, от които шест са поправени и в поддържаната версия 1.4. Освен това е отстранен проблем в clamd, който можеше да доведе до разкриване на съдържанието на паметта на процеса.
В ClamAV 1.5.4 са поправени следните уязвимости:
- CVE-2026-20337 — грешка в обработката на размера на ZIP директория можеше да доведе до запис извън заделеното в купа буферно пространство при индексиране на локалните заглавия на файловете. Уязвими са версиите ClamAV 1.5.0–1.5.3.
- CVE-2026-20338 — грешка в управлението на паметта при обединяване на записи от ZIP директория можеше да доведе до неправилно освобождаване на паметта при обработка на специално структуриран архив. Тази грешка засяга само версия 1.5.
- CVE-2026-20345 — грешка при индексиране при преобразуване на имена на раздели GPT позволяваше четене или запис на данни извън структурата на раздела, разположена в стека. Проблемът беше наличен от ClamAV 0.98.2.
- CVE-2026-20339 — преливане на цели числа в разархиватора PESpin можеше да доведе до заделяне на твърде малък буфер и последващ запис извън него при възстановяване на PE файла. Уязвимостта съществуваше от ClamAV 0.90.
- CVE-2026-20346 — преливане на цели числа при анализатора PDF можеше да предизвика аварийно спиране на процеса при четене на неправилна шестнадесетична стойност.
- CVE-2026-20347 — преливане на цели числа и неопределено поведение в анализатора Mach-O можеха да доведат до падане на скенера при проверка на специално структуриран файл.
- CVE-2026-20348 — грешки при проверка на размерите в анализатора XAR позволяваха предизвикване на прекомерно заделяне на памет или надвишаване на зададените лимити за сканиране при разархивиране на повредена таблица за съдържание.
- CVE-2025-8088 — поправка от upstream е пренесена в библиотеката UnRAR, доставена заедно с ClamAV. На Windows разделителите на пътища вътре в имената на алтернативни потоци NTFS могат да позволят извличане на данни извън временното каталог на ClamAV.
В ClamAV 1.4.6 са поправени шест от изброените уязвимости: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 и CVE-2025-8088. Две от проблемите с обработчика на ZIP — CVE-2026-20337 и CVE-2026-20338 — принадлежат на кода от версия 1.5 и следователно не са актуални за 1.4.
Отделно разработчиците са отстранили дългогодишен проблем с потоковедението на командата clamd СТАТИСТИКА. При едновременни сканирания и искания на статистика, може да възникне състезание, което да доведе до разкриване на данни от паметта на процеса или до срив на демона. Грешката съществува в ClamAV от версия 0.95. Също така е поправена обработката на частично записване в сокета при изпращане на големи отговори STATS. Поправката е включена и в двете нови версии.
За FreeBSD отново работи безопасно извършване на операции по премахване в карантина и изтриване на файлове. В 1.5.4 допълнително е отстранена теч на контекста на OpenSSL при работа с остарели функции за хеширане в някои конфигурации, особено при недостъпност на стандарния доставчик в среда с FIPS. В двете клонове е обновена Rust зависимостта crossbeam-epoch за отстраняване на предупреждението. RUSTSEC-2026-0204.
ClamAV е кросплатформен свободен антивирусен пакет и набор от библиотеки за откриване на зловреден софтуер, широко използван в Linux и пощенски сървъри. Проектът се разпространява под лицензия GNU GPLv2.
Източник: linux.org.ru
