Актуализация на антивирусния пакет ClamAV 1.4.3 и 1.0.9 с отстранени уязвимости

Компания Cisco публикува нови версии на безплатния антивирусен пакет ClamAV 1.4.3 и 1.0.98, в които са отстранени уязвимости, една от които може да доведе до изпълнение на код от атакуващия при проверка на специално форматирано съдържание.

• CVE-2025-20260 – грешка в кода за анализ на файлове във формат PDF, водеща до запис на данни извън определения буфер. Проблемът се проявява в конфигурации, при които максималният размер на настройките file-size и scan-size е равен или надвишава 1024 MB и 1025 MB съответно. Експлоатацията на уязвимостта е възможна от версия 1.0.0 и може да доведе до изпълнение на код с правата на процеса ClamAV.
• CVE-2025-20234 – грешка в кода за анализ на файлове във формат UDF, водеща до четене на данни от паметта извън определения буфер. Проблемът може да доведе до аварийно приключване на процеса или изтичане на данни от паметта в временен файл. Уязвимостта се проявява от версия 1.2.0.
• Обращение към паметта след нейното освобождаване в модула за разархивиране на архиви във формат xz (CVE не е назначен). Проблемът е причинен от грешка в вградената в кода на ClamAV библиотека lzma-sdk, която беше отстранена в основния проект в версия lzma-sdk 18.03, публикувана през 2018 година без споменаване на отстраняването на уязвимостта. Уязвимостта се проявява във всички версии на ClamAV, започвайки от 0.99.4.
  
  Източник: opennet.ru