Efter seks måneders udvikling har Cisco offentliggjort udgivelsen af det gratis antivirusprogram ClamAV 1.3.0. Projektet blev overtaget af Cisco i 2013 efter opkøbet af virksomheden Sourcefire, som udvikler ClamAV og Snort. Koden til projektet distribueres under GPLv2-licensen. Version 1.3.0 klassificeres som almindelig (ikke LTS), hvor opdateringer offentliggøres i mindst fire måneder efter udgivelsen af den første version af den følgende version. Muligheden for at downloade signaturdatabasen for ikke-LTS-versioner tilbydes også i mindst yderligere fire måneder efter udgivelsen af den næste version.
Nøgleforbedringer i ClamAV 1.3:
- Tilføjet støtte til udpakning og kontrol af vedhæftninger, der anvendes i Microsoft OneNote-filer. Parsing af OneNote-formatet er som standard inkluderet, men kan deaktiveres via indstillingen "ScanOneNote no" i clamd.conf, ved at angive kommandolinjeindstillingen "—scan-onenote=no" ved opstart af clamscan-værktøjet eller ved at tilføje CL_SCAN_PARSE_ONENOTE-flaget til options.parse-parameteren ved brug af libclamav.
- ClamAV-bygningen i BeOS-lignende operativsystem Haiku er blevet forbedret.
- I clamd er der tilføjet en kontrol af eksistensen af den midlertidige filmappe angivet i clamd.conf via direktivet TemporaryDirectory. Hvis denne mappe ikke findes, afsluttes processen nu med en fejlmeddelelse.
- Ved konfiguration af statiske biblioteksbygninger i CMake er installationen af de statiske biblioteker libclamav_rust, libclammspack, libclamunrar_iface og libclamunrar, der anvendes i libclamav, blevet sikret.
- Der er implementeret filtypebestemmelse for kompilerede Python-scripts (.pyc). Filtypen sendes som en strengparameter CL_TYPE_PYTHON_COMPILED, der understøttes i funktionerne clcb_pre_cache, clcb_pre_scan og clcb_file_inspection.
- Understøttelsen af dekryptering af PDF-dokumenter med en tom adgangskode er blevet forbedret.
Samtidig blev der lanceret opdateringer til ClamAV 1.2.2 og 1.0.5, som har løst to sårbarheder, der påvirker versionerne 0.104, 0.105, 1.0, 1.1 og 1.2:
- CVE-2024-20328 — muligheden for kommandoinjektion under filkontrol i clamd på grund af en fejl i implementeringen af direktivet "VirusEvent", der bruges til at køre vilkårlige kommandoer ved opdagelse af virus. Detaljer om udnyttelsen af sårbarheden er endnu ikke offentliggjort, det er kun kendt, at problemet er løst ved at deaktivere understøttelsen af betydningsparameteren '%f' i VirusEvent, som blev erstattet med navnet på den inficerede fil.
Tilsyneladende består angrebet i at overføre et specielt formateret navn på en inficeret fil, der indeholder ikke-escaperede specialtegn, når kommandoen angivet i VirusEvent køres. Det er bemærkelsesværdigt, at en lignende sårbarhed allerede blev udbedret i 2004 ved at fjerne understøttelsen af wildcard '%f', som senere blev genindført i udgaven ClamAV 0.104, hvilket førte til genoplivningen af den gamle sårbarhed. I den gamle sårbarhed var det tilstrækkeligt at oprette en fil med navnet «; mkdir owned» og skrive en testvirus signatur i den for at udføre sin kommando under viruskontrollen.
- CVE-2024-20290 — buffer overflow i koden til parsing af filer med indhold i OLE2-format, som en fjern, ikke-authentificeret angriber kan udnytte til at forårsage service denial (crash af scanningsprocessen). Problemet skyldes en forkert kontrol af slutningen af linjen under scanning af indholdet, hvilket fører til læsning uden for buffergrænsen.
Kilde: opennet.ru
