Das Unternehmen Cisco hat das Antivirenpaket ClamAV 1.3.0 veröffentlicht und eine gefährliche Schwachstelle behoben.

Nach sechsmonatiger Entwicklung hat das Unternehmen Cisco die Version 1.3.0 des kostenlosen Antivirenpakets ClamAV veröffentlicht. Das Projekt kam 2013 nach dem Kauf von Sourcefire, das ClamAV und Snort entwickelt, in die Hände von Cisco. Der Code des Projekts wird unter der GPLv2-Lizenz verteilt. Die Version 1.3.0 zählt zur Kategorie der regulären (nicht LTS) Versionen, für die Updates mindestens vier Monate nach der ersten Veröffentlichung der nächsten Version bereitgestellt werden. Die Möglichkeit, die Signaturdatenbank für nicht-LTS-Versionen herunterzuladen, wird ebenfalls mindestens vier Monate nach der Veröffentlichung der nächsten Version sichergestellt.

Wichtige Verbesserungen in ClamAV 1.3:

• Unterstützung für das Extrahieren und Überprüfen von Anhängen in Microsoft OneNote-Dateien wurde hinzugefügt. Die Analyse des OneNote-Formats ist standardmäßig aktiviert, kann jedoch auf Wunsch mit der Konfiguration „ScanOneNote no“ in clamd.conf, dem Command-Line-Argument „—scan-onenote=no“ beim Start des clamscan-Tools oder durch Hinzufügen des Flags CL_SCAN_PARSE_ONENOTE zu den Optionen options.parse bei der Verwendung von libclamav deaktiviert werden.
• Der Aufbau von ClamAV für das BeOS-ähnliche Betriebssystem Haiku wurde eingerichtet.
• In clamd wurde eine Überprüfung der Existenz des Verzeichnisses für temporäre Dateien hinzugefügt, das in der clamd.conf über die Direktive TemporaryDirectory angegeben ist. Sollte dieses Verzeichnis nicht existieren, wird der Prozess nun mit einer Fehlermeldung beendet.
• Bei der Konfiguration des Aufbaus statischer Bibliotheken in CMake wurde die Installation der statischen Bibliotheken libclamav_rust, libclammspack, libclamunrar_iface und libclamunrar, die in libclamav verwendet werden, sichergestellt.
• Die Dateitypbestimmung für kompilierte Python-Skripte (.pyc) wurde implementiert. Der Dateityp wird in Form eines String-Parameters CL_TYPE_PYTHON_COMPILED übergeben, der in den Funktionen clcb_pre_cache, clcb_pre_scan und clcb_file_inspection unterstützt wird.
• Die Unterstützung für die Dekodierung von PDF-Dokumenten ohne Passwort wurde verbessert.

Gleichzeitig wurden die Updates ClamAV 1.2.2 und 1.0.5 veröffentlicht, in denen zwei Sicherheitsanfälligkeiten behoben wurden, die die Versionen 0.104, 0.105, 1.0, 1.1 und 1.2 betreffen:

• CVE-2024-20328 – Möglichkeit der Ausführung von Befehlen während der Dateiüberprüfung in clamd aufgrund eines Fehlers in der Implementierung der Direktive „VirusEvent“, die zur Ausführung eines beliebigen Befehls im Fall einer Virusentdeckung verwendet wird. Einzelheiten zur Ausnutzung der Sicherheitsanfälligkeit werden bisher nicht offengelegt; bekannt ist nur, dass das Problem durch Deaktivierung der Unterstützung des Formatierungsparameters „%f“ in VirusEvent behoben wurde, der durch den Namen der infizierten Datei ersetzt wurde.

  Offenbar besteht der Angriff darin, einen speziell gestalteten Namen einer infizierten Datei zu übermitteln, der Sonderzeichen enthält, die bei der Ausführung des in VirusEvent angegebenen Befehls nicht escaped werden. Bemerkenswert ist, dass eine ähnliche Schwachstelle bereits im Jahr 2004 behoben wurde, und zwar durch die Entfernung der Unterstützung für die Platzhalter '%f', die dann in der Version ClamAV 0.104 wieder eingeführt wurde und zur Wiederbelebung der alten Schwachstelle führte. Bei der alten Schwachstelle war es für die Ausführung des eigenen Befehls während des Virenscans ausreichend, eine Datei mit dem Namen „; mkdir owned“ zu erstellen und eine Testvirus-Signatur hineinzuschreiben.

• CVE-2024-20290 – ein Pufferüberlauf im Code zur Analyse von Dateien mit Inhalten im OLE2-Format, den ein nicht authentifizierter Angreifer aus der Ferne nutzen kann, um einen Denial-of-Service (Absturz des Scanprozesses) herbeizuführen. Das Problem wird durch unzureichende Überprüfung des Zeilenendes während des Scannens der Inhalte verursacht, was zu einem Lesen außerhalb der Puffergrenzen führt.

Quelle: opennet.ru