Po šesti měsících vývoje společnost Cisco zveřejnila verzi antivirového balíčku ClamAV 1.3.0. Projekt přešel do rukou Cisco v roce 2013 po akvizici společnosti Sourcefire, která vyvíjela ClamAV a Snort. Kód projektu je distribuován pod licencí GPLv2. Větev 1.3.0 je klasifikována jako běžná (ne LTS), u které jsou aktualizace publikovány alespoň po dobu 4 měsíců po vydání prvního vydání následující větve. Možnost stáhnout databázi signatur pro ne-LTS větve je také zajištěna alespoň po dobu dalších 4 měsíců po vydání následující větve.
Hlavní zlepšení v ClamAV 1.3:
- Byla přidána podpora pro extrakci a kontrolu příloh používaných v souborech Microsoft OneNote. Analýza formátu OneNote je zahrnuta ve výchozím nastavení, ale může být deaktivována pomocí nastavení „ScanOneNote no“ v clamd.conf, uvedením příznaku příkazového řádku „—scan-onenote=no“ při spuštění nástroje clamscan nebo přidáním příznaku CL_SCAN_PARSE_ONENOTE do parametru options.parse při používání libclamav.
- Bylo zavedeno sestavení ClamAV v operačním systému podobném BeOS, Haiku.
- Byla přidána kontrola existence adresáře pro dočasné soubory v clamd, jak je uvedeno v souboru clamd.conf prostřednictvím direktivy TemporaryDirectory. Pokud tento adresář neexistuje, proces se nyní ukončuje s chybovým hlášením.
- Při konfiguraci sestavení statických knihoven v CMake byla zajištěna instalace statických knihoven libclamav_rust, libclammspack, libclamunrar_iface a libclamunrar používaných v libclamav.
- Bylo zavedeno rozpoznávání typu souboru pro zkompilované Python skripty (.pyc). Typ souboru je předán ve formě řetězcového parametru CL_TYPE_PYTHON_COMPILED, podporovaného ve funkcích clcb_pre_cache, clcb_pre_scan a clcb_file_inspection.
- Byla vylepšena podpora dešifrování PDF dokumentů s prázdným heslem.
Současně byla vydána aktualizace ClamAV 1.2.2 a 1.0.5, ve které byly odstraněny dvě zranitelnosti týkající se větví 0.104, 0.105, 1.0, 1.1 a 1.2:
- CVE-2024-20328 — možnost injekce příkazů během kontroly souborů v clamd kvůli chybě v implementaci direktivy „VirusEvent“, která se používá k spuštění libovolného příkazu při detekci viru. Podrobnosti o zranitelnosti zatím nebyly zveřejněny, je známo pouze to, že problém byl odstraněn zakázáním podpory parametru formátování řetězce ‘%f’ v VirusEvent, který byl nahrazován názvem infikovaného souboru.
Podle všeho útočníci využívají speciálně upravené názvy infikovaných souborů, které obsahují nezpracované speciální znaky při spuštění příkazu uvedeného v VirusEvent. Zajímavé je, že podobnou zranitelnost již v roce 2004 odstranili, když vyřadili podporu pro substituci '%f', která byla poté vrácena ve verzi ClamAV 0.104 a vedla k obnovení staré zranitelnosti. V minulém problému stačilo vytvořit soubor s názvem '; mkdir owned' a zapsat do něj testovací podpis viru, aby byla vykonaná příslušná akce při kontrole virů.
- CVE-2024-20290 — přetečení bufferu v kódu pro analýzu souborů ve formátu OLE2, které může využít vzdálený neautentizovaný útočník k vyvolání dočasné nedostupnosti (zhroucení procesu skenování). Problém je způsoben nesprávnou kontrolou konce řetězce během skenování obsahu, což vede ke čtení mimo hranice bufferu.
Zdroj: opennet.ru
