Am 7. August wurden Korrektur-Updates des kostenlosen Antivirenschutzpakets veröffentlicht ClamAV 1.5.4 und 1.4.6. In den neuen Versionen liegt der Fokus auf der Sicherheit: In der aktuellen Version 1.5 wurden acht CVEs geschlossen, von denen sechs auch in der unterstützten Version 1.4 behoben wurden. Darüber hinaus wurde ein Problem in clamd behoben, das zu einer Offenlegung des Speichers des Prozesses führen konnte.
In ClamAV 1.5.4 Die folgenden Schwachstellen wurden behoben:
- CVE-2026-20337 — Ein Fehler bei der Größenberechnung von ZIP-Verzeichnissen konnte bei der Indizierung lokaler Dateikopfzeilen zu einem Überlauf des zugewiesenen Puffers im Heap führen. Betroffene Versionen von ClamAV sind 1.5.0–1.5.3.
- CVE-2026-20338 — Ein Speicherverwaltungsfehler bei der Zusammenführung von ZIP-Verzeichnisdatensätzen konnte zu einer fehlerhaften Speicherfreigabe bei der Verarbeitung eines speziell formatierten Archivs führen. Betroffen war nur die Version 1.5.
- CVE-2026-20345 — Ein Fehler bei der Indizierung bei der Umwandlung von GPT-Partitionstiteln erlaubte es, Daten außerhalb der im Stack abgelegten Partitionstruktur zu lesen oder zu schreiben. Das Problem trat bereits ab ClamAV 0.98.2 auf.
- CVE-2026-20339 — Eine Integer-Überlauf bei dem PESpin-Dekompressor konnte zu einem zu kleinen zugewiesenen Puffer führen, was anschließend zu einem Überlauf beim Wiederherstellen einer PE-Datei führte. Die Schwachstelle existierte ab ClamAV 0.90.
- CVE-2026-20346 — Ein Abwärts-Integer-Überlauf im PDF-Parser konnte zu einem Absturz des Prozesses führen, wenn eine fehlerhafte hexadezimale Zeichenfolge gelesen wurde.
- CVE-2026-20347 — Integer-Überläufe und undefiniertes Verhalten im Mach-O-Parser konnten dazu führen, dass der Scanner beim Überprüfen einer speziell formatierten Datei abstürzte.
- CVE-2026-20348 — Fehler bei der Größenprüfung im XAR-Parser ermöglichten eine übermäßige Speicherzuweisung oder das Überschreiten der festgelegten Scanbeschränkungen beim Entpacken einer beschädigten Inhaltsübersicht.
- CVE-2025-8088 — In die mit ClamAV gelieferte UnRAR-Bibliothek wurde ein Upstream-Fix übernommen. Unter Windows konnten Pfadtrennzeichen innerhalb von Namen alternativer NTFS-Datenströme das Extrahieren von Daten außerhalb des temporären ClamAV-Verzeichnisses ermöglichen.
In ClamAV 1.4.6 Sechs der oben genannten Schwachstellen wurden behoben: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 und CVE-2025-8088. Zwei Probleme des ZIP-Handlers — CVE-2026-20337 und CVE-2026-20338 — betreffen den Code der Version 1.5 und sind daher für die 1.4 nicht relevant.
Darüber hinaus haben die Entwickler ein langjähriges Problem mit der Thread-Sicherheit der Befehle behoben. clamd STATISTIKEN. Bei gleichzeitiger Durchführung von Scans und dem Anfordern von Statistiken konnte ein Wettlauf zu einer Offenlegung von Daten aus dem Prozessspeicher oder zum Absturz des Daemons führen. Der Fehler war in ClamAV seit Version 0.95 vorhanden. Auch die Handhabung der teilweisen Aufzeichnung in den Socket beim Senden großer STATS-Antworten wurde behoben. Die Korrektur ist in beiden neuen Versionen enthalten.
Für FreeBSD funktionieren die sicheren Operationen zum Verschieben in Quarantäne und zum Löschen von Dateien wieder. In 1.5.4 wurde zusätzlich ein Kontextleck von OpenSSL bei der Verwendung veralteter Hash-Funktionen in bestimmten Konfigurationen, insbesondere wenn der Standardanbieter in einer FIPS-Umgebung nicht verfügbar ist, behoben. In beiden Zweigen wurde die Rust-Abhängigkeit crossbeam-epoch aktualisiert, um Warnungen zu beseitigen. RUSTSEC-2026-0204.
ClamAV ist ein plattformübergreifendes, freies Antivirenpaket und eine Sammlung von Bibliotheken zur Erkennung von Malware, die häufig auf Linux- und Mail-Servern eingesetzt wird. Das Projekt steht unter der Lizenz GNU GPLv2.
Quelle: linux.org.ru
