7. august blev der offentliggjort korrigerende udgivelser af den gratis antiviruspakke ClamAV 1.5.4 og 1.4.6. Fokuseringen i de nye versioner er på sikkerhed: i den aktuelle 1.5-gren er otte CVE-lukket, hvoraf seks også er rettet i den understøttede 1.4-gren. Derudover er et problem i clamd, der kunne føre til afsløring af indholdet i proceshukommelsen, blevet løst.
I ClamAV 1.5.4 rettet de følgende sårbarheder:
- CVE-2026-20337 — en fejl i størrelse registrering af ZIP-kataloget kunne føre til skrivning uden for den tildelte hukommelsesbuffer under indeksering af lokale filoverskrifter. Berørte versioner af ClamAV 1.5.0–1.5.3.
- CVE-2026-20338 — en hukommelsesstyringsfejl ved sammenføring af ZIP-katalogplader kunne føre til forkert frigivelse af hukommelse under behandling af et specielt fremstillet arkiv. Påvirkede kun 1.5-grenen.
- CVE-2026-20345 — en indekseringsfejl ved konvertering af GPT-partitionsnavne kunne tillade læsning eller skrivning af data uden for partitionsstrukturen placeret på stakken. Problemet har været til stede siden ClamAV 0.98.2.
- CVE-2026-20339 — et heltalsoverskud i PESpin-dekomprimatoren kunne føre til tildeling af en for lille buffer, efterfulgt af skrivning uden for den under genoprettelsen af PE-filen. Sårbarheden har eksisteret siden ClamAV 0.90.
- CVE-2026-20346 — et nedadgående heltalsoverskud i PDF-parseren kunne forårsage, at processen krakede ved læsning af en ugyldig hexadecimal streng.
- CVE-2026-20347 — heltalsoverskud og uforudsigelig adfærd i Mach-O-parseren kunne føre til, at scanneren faldt, når den kiggede på en specielt konstrueret fil.
- CVE-2026-20348 — størrelseskontrolfejl i XAR-parseren tillod at provokere overdreven hukommelsestildeling eller overskride de fastsatte scanningsgrænser ved udpakning af en beskadiget indholdstabel.
- CVE-2025-8088 — der er overført en upstream-rettelse til den medfølgende UnRAR-bibliotek med ClamAV. På Windows kunne stive stier i navne på alternative NTFS-strømme tillade at udtrække data uden for ClamAV's midlertidige katalog.
I ClamAV 1.4.6 rettet seks af de nævnte sårbarheder: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 og CVE-2025-8088. To ZIP-handlerproblemer — CVE-2026-20337 og CVE-2026-20338 — henviser til koden i 1.5-grenen og er derfor ikke relevante for 1.4.
Desuden har udviklerne løst et gammelt problem med tråd-sikkerhed i kommandoen clamd STATS. Ved samtidig udførelse af scanning og anmodninger om statistik kunne en racebetingelse føre til afsløring af data fra processens hukommelse eller til nedbrud af dæmonen. Fejlen har været til stede i ClamAV siden version 0.95. Håndtering af delvise optegnelser i soklen ved afsendelse af store STATS-svar er også blevet rettet. Rettelsen er inkluderet i begge nye versioner.
For FreeBSD fungerer sikker bevægelse af filer til karantæne og sletning igen. I version 1.5.4 er der endvidere rettet en lækage af OpenSSL-kontext ved brug af forældede hashing-funktioner i nogle konfigurationer, især når standardudbyderen ikke er tilgængelig i et FIPS-miljø. I begge grene er Rust-afhængigheden crossbeam-epoch blevet opdateret for at fjerne advarslen. RUSTSEC-2026-0204.
ClamAV er et tværplatforms frit antiviruspakke og bibliotekssæt til detektion af malware, der bredt anvendes på Linux- og mailservere. Projektet distribueres under licensen GNU GPLv2.
Kilde: linux.org.ru
