7. srpna byly zveřejněny opravy volně dostupného antivirového balíčku ClamAV 1.5.4 a 1.4.6. Nové verze se zaměřují na zabezpečení: v aktuální větvi 1.5 bylo uzavřeno osm CVE, z nichž šest bylo také opraveno ve podporované větvi 1.4. Dále byla odstraněna chyba v clamd, která mohla vést k úniku obsahu paměti procesu.
V ClamAV 1.5.4 byly opraveny následující zranitelnosti:
- CVE-2026-20337 — chyba při počítání velikosti ZIP adresáře mohla vést k zápisu mimo vyhrazený v paměti buffer při indexování lokálních hlaviček souborů. Opravené verze ClamAV 1.5.0–1.5.3.
- CVE-2026-20338 — chyba správy paměti při sloučení záznamů ZIP adresáře mohla vést k nesprávnému uvolnění paměti při zpracování speciálně vytvořeného archivu. Taktéž postihovala pouze větev 1.5.
- CVE-2026-20345 — chyba indexování při převodu názvů GPT oddílů umožnila číst nebo zapisovat data mimo strukturu oddílu umístěnou na zásobníku. Problém byl přítomen od verze ClamAV 0.98.2.
- CVE-2026-20339 — celočíselný přetečení v dekompresoru PESpin mohlo vést k alokaci příliš malého bufferu s následným zápisem za jeho hranice při obnově PE souboru. Zranitelnost existovala od verze ClamAV 0.90.
- CVE-2026-20346 — celočíselné podtečení v PDF analyzátoru mohlo způsobit havárii procesu při čtení nesprávného hexadecimálního řetězce.
- CVE-2026-20347 — celočíselné přetečení a nedefinované chování v Mach-O analyzátoru mohly vést k pádu skeneru při kontrole speciálně vytvořeného souboru.
- CVE-2026-20348 — chyby při kontrole velikostí v XAR analyzátoru umožnily vyvolat nadměrnou alokaci paměti nebo překročit stanovené limity skenování při dekompresi poškozené tabulky obsahu.
- CVE-2025-8088 — do knihovny UnRAR dodávané s ClamAV bylo přeneseno upstream oprava. Na Windows mohly oddělovače cest v názvech alternativních NTFS proudů umožnit extrakci dat mimo dočasný adresář ClamAV.
V ClamAV 1.4.6 byly opraveny šest z uvedených zranitelností: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 a CVE-2025-8088. Dva problémy zpracovatele ZIP — CVE-2026-20337 a CVE-2026-20338 — se týkají kódu větve 1.5 a proto pro 1.4 nejsou relevantní.
Samostatně vývojáři odstranili dlouhodobý problém s vlákny bezpečnosti příkazu clamd STATISTIKY. Při současném provádění skenování a požadavků na statistiky mohla závada vést k odhalení dat z paměti procesu nebo k pádu démona. Chyba byla přítomna v ClamAV od verze 0.95. Také byla opravena zpracování částečného záznamu do socketu při odesílání velkých odpovědí STATISTIKY. Oprava je zahrnuta v obou nových verzích.
Pro FreeBSD znovu funguje bezpečná práce operací přesouvání do karantény a odstraňování souborů. V 1.5.4 byla navíc odstraněna únik kontextu OpenSSL při práci zastaralých funkcí hashování v některých konfiguracích, zejména při nedostupnosti standardního poskytovatele v prostředí s FIPS. V obou větvích byla aktualizována Rust závislost crossbeam-epoch pro odstranění varování. RUSTSEC-2026-0204.
ClamAV je multiplatformní svobodný antivirový balík a sada knihoven pro detekci malware, široce používaný na Linuxových a poštovních serverech. Projekt je šířen pod licencí GNU GPLv2.
Zdroj: linux.org.ru
