След шестмесечно развитие, компания Cisco публикува версия на свободния антивирусен пакет ClamAV 1.3.0. Проектът премина под шапките на Cisco през 2013 година след закупуването на компанията Sourcefire, която развиваше ClamAV и Snort. Кодът на проекта се разпространява под лицензия GPLv2. Ветката 1.3.0 е класифицирана като обикновена (не LTS), обновленията на която се публикуват поне в рамките на 4 месеца след излизането на първия релиз на следващата ветка. Възможността за изтегляне на базата с сигнатури за не-LTS ветки също е налична поне още 4 месеца след пускането на следващата ветка.
Ключови подобрения в ClamAV 1.3:
- Добавена е поддръжка за извличане и проверка на прикачени файлове, използвани в документи на Microsoft OneNote. Разборът на формата OneNote е включен по подразбиране, но при желание може да бъде деактивиран с настройката „ScanOneNote no“ в clamd.conf, посочване на опцията от командния ред „—scan-onenote=no“ при стартиране на утилитата clamscan, или добавяне на флага CL_SCAN_PARSE_ONENOTE в параметъра options.parse при използване на libclamav.
- Настроена е сборка на ClamAV в BeOS-подобната операционна система Haiku.
- В clamd е добавена проверка за съществуването на директорията за временни файлове, посочена в файла clamd.conf чрез директивата TemporaryDirectory. При отсъствието на тази директория процесът сега приключва с изходна грешка.
- При настройка на сборката на статичните библиотеки в CMake, е осигурена инсталацията на статичните библиотеки libclamav_rust, libclammspack, libclamunrar_iface и libclamunrar, използвани в libclamav.
- Реализирано е определянето на типа файл за компилирани Python скриптове (.pyc). Типът файл се предава под формата на строков параметър CL_TYPE_PYTHON_COMPILED, поддържан в функциите clcb_pre_cache, clcb_pre_scan и clcb_file_inspection.
- Подобрена е поддръжката за декодиране на PDF документи с празна парола.
В същото време са създадени обновления на ClamAV 1.2.2 и 1.0.5, в които са отстранени две уязвимости, засягащи ветките 0.104, 0.105, 1.0, 1.1 и 1.2:
- CVE-2024-20328 — възможност за подмяна на команди по време на проверка на файлове в clamd заради грешка в реализацията на директивата „VirusEvent“, използвана за стартиране на произволна команда при откритие на вирус. Детайли за експлоатацията на уязвимостта все още не са разкрити, известно е само, че проблемът е отстранен чрез деактивиране на поддръжката в VirusEvent за параметъра за форматиране на строката ‘%f’, който се заменяше с името на инфектирания файл.
Съдейки по всичко, атаката се свежда до предаване на специално оформено име на заразен файл, съдържащо специални символи, които не се екранират при изпълнение на командата, посочена в VirusEvent. Забележително е, че подобна уязвимост вече беше отстранена през 2004 година чрез премахване на поддръжката за заместване ‘%f’, която впоследствие беше върната с версиите на ClamAV 0.104 и доведе до край на старата уязвимост. При старата уязвимост, за да изпълни своята команда по време на проверката за вируси, беше достатъчно да се създаде файл с името «; mkdir owned» и да се запише тестова сигнатура на вируса в него.
- CVE-2024-20290 — преливане на буфер в кода за парсинг на файлове с OLE2 формат, което може да доведе до отказ на услуга (катастрофално завършване на процеса на сканиране) от дистанционно неаутентифициран нападател. Проблемът е предизвикан от неправилна проверка на края на реда по време на сканирането на съдържанието, водеща до четене извън границите на буфера.
Източник: opennet.ru
