Am 7. August wurden korrigierte Versionen des freien Antivirenpakets veröffentlicht. ClamAV 1.5.4 und 1.4.6Besonderer Augenmerk wurde in den neuen Versionen auf die Sicherheit gelegt: In der aktuellen Version 1.5 wurden acht CVEs geschlossen, von denen sechs auch in der unterstützten Version 1.4 behoben wurden. Zudem wurde ein Problem in clamd behoben, welches zur Offenlegung von Prozessspeicherinhalten führen konnte.
Im ClamAV 1.5.4 Die folgenden Sicherheitsanfälligkeiten wurden behoben:
- CVE-2026-20337 — Ein Fehler bei der Größenbestimmung von ZIP-Verzeichnissen konnte während der Indizierung lokaler Dateikopfzeilen zu einem Schreibvorgang außerhalb des zugewiesenen Heap-Puffers führen. Betroffene Versionen von ClamAV sind 1.5.0–1.5.3.
- CVE-2026-20338 — Ein Speicherverwaltungsfehler beim Zusammenführen von ZIP-Verzeichniseinträgen konnte zu einer fehlerhaften Freigabe von Speicher bei der Verarbeitung eines speziell gestalteten Archivs führen. Betroffen war zudem nur die Version 1.5.
- CVE-2026-20345 — Ein Fehler bei der Indizierung bei der Umwandlung von GPT-Partitionstiteln ermöglichte es, Daten außerhalb der im Stack platzierten Partitionstruktur zu lesen oder zu schreiben. Das Problem war seit ClamAV 0.98.2 vorhanden.
- CVE-2026-20339 — Ein ganzzahliges Überlaufproblem im PESpin-Entpacker konnte zu einer Zuweisung eines zu kleinen Puffers führen, gefolgt von einem Schreibvorgang außerhalb dieses Puffers bei der Wiederherstellung einer PE-Datei. Die Sicherheitsanfälligkeit existierte seit ClamAV 0.90.
- CVE-2026-20346 — Ein ganzzahliges Überlaufproblem im PDF-Parser konnte zu einem unerwarteten Abschluss des Prozesses beim Lesen einer fehlerhaften hexadezimalen Zeichenfolge führen.
- CVE-2026-20347 — Ein ganzzahliges Überlaufproblem und undefiniertes Verhalten im Mach-O-Parser konnten zu einem Absturz des Scanners bei der Prüfung einer speziell gestalteten Datei führen.
- CVE-2026-20348 — Fehler bei der Größenüberprüfung im XAR-Parser ermöglichten es, übermäßigen Speicher zuzuweisen oder die festgelegten Scan-Grenzen beim Entpacken einer beschädigten Inhaltsübersicht zu überschreiten.
- CVE-2025-8088 — In die mit ClamAV gelieferte UnRAR-Bibliothek wurde ein Upstream-Fix übertragen. Unter Windows konnten Pfadtrennzeichen innerhalb von Namen alternativer NTFS-Datenströme dazu führen, dass Daten außerhalb des temporären ClamAV-Verzeichnisses extrahiert wurden.
Im ClamAV 1.4.6 Sechs der genannten Sicherheitsanfälligkeiten wurden behoben: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 und CVE-2025-8088. Zwei Probleme im ZIP-Handler — CVE-2026-20337 und CVE-2026-20338 — betreffen den Code der Version 1.5 und sind daher für 1.4 nicht relevant.
Zusätzlich haben die Entwickler ein altes Problem mit der Thread-Sicherheit des Kommandos behoben. clamd STATISTIKEN. Bei gleichzeitiger Durchführung von Scans und Anfragen an die Statistik konnte es zu einer Datenoffenbarung aus dem Anwendungsspeicher oder zum Absturz des Daemons kommen. Der Fehler war in ClamAV seit Version 0.95 vorhanden. Zudem wurde die Verarbeitung von Teilschreibvorgängen in den Socket bei der Übermittlung großer STATS-Antworten behoben. Die Korrektur ist in beiden neuen Versionen enthalten.
Für FreeBSD funktioniert nun wieder die sichere Ausführung von Quarantänebewegungen und Dateilöschungen. In 1.5.4 wurde außerdem ein Leck des OpenSSL-Kontexts bei der Verwendung veralteter Hash-Funktionen in einigen Konfigurationen behoben, insbesondere wenn der Standardanbieter in einer FIPS-Umgebung nicht verfügbar ist. In beiden Verzweigungen wurde die Rust-Abhängigkeit crossbeam-epoch aktualisiert, um eine Warnung zu beseitigen. RUSTSEC-2026-0204.
ClamAV ist ein plattformübergreifendes, freies Antivirenpaket und eine Sammlung von Bibliotheken zur Erkennung von Malware, das weit verbreitet auf Linux- und Mailservern eingesetzt wird. Das Projekt wird unter der Lizenz GNU GPLv2.
Quelle: linux.org.ru
