Cisco hat das kostenlose Antivirenpaket ClamAV 0.105 veröffentlicht.

Die Firma Cisco hat eine bedeutende neue Version des kostenlosen Antivirenpakets ClamAV 0.105.0 vorgestellt und auch Korrekturversionen ClamAV 0.104.3 und 0.103.6 veröffentlicht, die Sicherheitsanfälligkeiten und Fehler beheben. Erinnert sei daran, dass das Projekt 2013 in die Hände von Cisco überging, nachdem das Unternehmen Sourcefire, das ClamAV und Snort entwickelt hat, gekauft wurde. Der Code des Projekts wird unter der GPLv2-Lizenz verteilt.

Wesentliche Verbesserungen in ClamAV 0.105:

• Der Compiler für die Programmiersprache Rust wurde zu den zwingend erforderlichen Abhängigkeiten hinzugefügt. Für den Build wird mindestens Version 1.56 von Rust benötigt. Die notwendigen Rust-Abhängigkeitsbibliotheken sind im Hauptpaket von ClamAV enthalten.
• Der Code für die inkrementelle Aktualisierung der Datenbankarchive (CDIFF) wurde in Rust neu geschrieben. Die neue Implementierung ermöglicht eine signifikante Beschleunigung der Anwendung von Updates, die eine große Anzahl von Signaturen aus der Datenbank entfernen. Dies ist das erste Modul, das in Rust neu geschrieben wurde.
• Die standardmäßigen Grenzwerte wurden erhöht:
  • MaxScanSize: 100M > 400M
  • MaxFileSize: 25M > 100M
  • StreamMaxLength: 25M > 100M
  • PCREMaxFileSize: 25M > 100M
  • MaxEmbeddedPE: 10M > 40M
  • MaxHTMLNormalize: 10M > 40M
  • MaxScriptNormalize: 5M > 20M
  • MaxHTMLNoTags: 2M > 8M
  • Die maximale Zeichenanzahl in den Konfigurationsdateien freshclam.conf und clamd.conf wurde von 512 auf 1024 Zeichen erhöht (bei der Angabe von Zugangstokens konnte der Parameter DatabaseMirror mehr als 512 Byte überschreiten).
• Zur Erkennung von Bildern, die für Phishing oder die Verbreitung von Schadsoftware verwendet werden, wurde die Unterstützung für eine neue Art von logischen Signaturen implementiert, bei denen eine Methode des unscharfen Hashings (fuzzy hashing) verwendet wird, die es ermöglicht, ähnliche Objekte mit einer bestimmten Wahrscheinlichkeit zu identifizieren. Zum Generieren eines unscharfen Hashes für ein Bild kann der Befehl „sigtool —fuzzy-img“ verwendet werden.
• In ClamScan und ClamDScan wurde die Möglichkeit zur Suche im Speicher von Prozessen integriert. Diese Funktion wurde aus dem ClamWin-Paket übernommen und ist spezifisch für die Windows-Plattform. In ClamScan und ClamDScan auf der Windows-Plattform wurden die Optionen „—memory“, „—kill“ und „—unload“ hinzugefügt.
• Die Runtime-Komponenten zur Ausführung von Bytecode, die auf LLVM basieren, wurden aktualisiert. Um die Scan-Leistung im Vergleich zum standardmäßig angebotenen Bytecode-Interpreter zu steigern, wurde ein JIT-Compilermodus angeboten. Die Unterstützung für ältere LLVM-Versionen wurde eingestellt; es können jetzt LLVM-Versionen von 8 bis 12 verwendet werden.
• In Clamd wurde die Einstellung GenerateMetadataJson hinzugefügt, die dem ‚—gen-json‘-Option in clamscan entspricht und zu einer Datei metadata.json führt, in der die Metadaten des Scanverlaufs im JSON-Format aufgezeichnet werden.
• Es wurde die Möglichkeit hinzugefügt, mit der externen Bibliothek TomsFastMath (libtfm) zu bauen, die über die Optionen ‚-D ENABLE_EXTERNAL_TOMSFASTMATH=ON‘, ‚-D TomsFastMath_INCLUDE_DIR=‘ und ‚-D TomsFastMath_LIBRARY=‘ eingebunden wird. Die mitgelieferte Kopie der Bibliothek TomsFastMath wurde auf Version 0.13.1 aktualisiert.
• Das Verhalten des Programms Freshclam wurde bei der Verarbeitung des ReceiveTimeout-Timeouts verbessert, der jetzt nur festgefahrene Downloads abbricht und aktive langsame Downloads bei schlechter Verbindung nicht unterbricht.
• Die Unterstützung für den Build von ClamdTop mit der Bibliothek ncursesw wurde hinzugefügt, falls ncurses nicht vorhanden ist.
• Behobene Sicherheitsanfälligkeiten:
  • CVE-2022-20803 – Doppelte Freigabe von Speicher im OLE2-Dateiparser.
  • CVE-2022-20770 – Endlos-Schleife im CHM-Dateiparser.
  • CVE-2022-20796 – Absturz aufgrund der Dereferenzierung eines Nullzeigers im Cache-Prüfcode.
  • CVE-2022-20771 – Endlos-Schleife im TIFF-Dateiparser.
  • CVE-2022-20785 – Speicherleck im HTML-Parser und JavaScript-Normalisierer.
  • CVE-2022-20792 – Pufferüberlauf im Modul zur Signaturdatenbank-Upload.

Quelle: opennet.ru