Nach sechsmonatiger Entwicklung hat die Firma Cisco die Version 1.3.0 des kostenlosen Antivirenpakets ClamAV veröffentlicht. Das Projekt ging 2013 nach dem Kauf des Unternehmens Sourcefire, das ClamAV und Snort entwickelt, in die Hände von Cisco über. Der Code des Projekts wird unter der Lizenz GPLv2 veröffentlicht. Die Version 1.3.0 gehört zur Kategorie der regulären (nicht LTS) Versionen, für die Updates mindestens vier Monate nach Veröffentlichung des ersten Releases der nächsten Version bereitgestellt werden. Die Möglichkeit, die Signaturdatenbank für Nicht-LTS-Versionen herunterzuladen, wird ebenfalls mindestens vier Monate nach Veröffentlichung der nächsten Version gewährleistet.
Wichtige Verbesserungen in ClamAV 1.3:
- Unterstützung für das Extrahieren und Überprüfen von Anhängen, die in Microsoft OneNote-Dateien verwendet werden, wurde hinzugefügt. Das Parsen des OneNote-Formats ist standardmäßig aktiviert, kann jedoch auf Wunsch mit der Einstellung „ScanOneNote no“ in clamd.conf, der Angabe der Kommandozeilenoption „—scan-onenote=no“ beim Start des Tools clamscan oder durch Hinzufügen des Flags CL_SCAN_PARSE_ONENOTE zu den Optionen der libclamav deaktiviert werden.
- Die Erstellung von ClamAV in dem BeOS-ähnlichen Betriebssystem Haiku wurde etabliert.
- In clamd wurde eine Überprüfung der Existenz des Verzeichnisses für temporäre Dateien hinzugefügt, das in der Datei clamd.conf über die Direktive TemporaryDirectory angegeben wird. Bei Nichtexistenz dieses Verzeichnisses wird der Prozess jetzt mit einer Fehlermeldung abgebrochen.
- Bei der Konfiguration des Builds statischer Bibliotheken in CMake wurde die Installation der statischen Bibliotheken libclamav_rust, libclammspack, libclamunrar_iface und libclamunrar, die in libclamav verwendet werden, sichergestellt.
- Die Erkennung des Dateityps für kompilierte Python-Skripte (.pyc) wurde implementiert. Der Dateityp wird als Stringparameter CL_TYPE_PYTHON_COMPILED übergeben, der in den Funktionen clcb_pre_cache, clcb_pre_scan und clcb_file_inspection unterstützt wird.
- Die Unterstützung für das Entschlüsseln von PDF-Dokumenten mit leerem Passwort wurde verbessert.
Gleichzeitig wurden die Updates ClamAV 1.2.2 und 1.0.5 veröffentlicht, die zwei Schwachstellen beheben, die die Versionen 0.104, 0.105, 1.0, 1.1 und 1.2 betreffen:
- CVE-2024-20328 — die Möglichkeit, Befehle im Prozess der Dateiüberprüfung in clamd aufgrund eines Fehlers in der Implementierung der Direktive „VirusEvent“ einzuschleusen, die dazu verwendet wird, einen beliebigen Befehl bei Erkennung eines Virus auszuführen. Details zur Ausnutzung der Schwachstelle werden noch nicht veröffentlicht, es ist nur bekannt, dass das Problem durch das Deaktivieren der Unterstützung des Formatierungsparameters „%f“ in VirusEvent behoben wurde, der durch den Namen der infizierten Datei ersetzt wurde.
Anscheinend besteht der Angriff darin, einen speziell formatierten Namen einer infizierten Datei zu übermitteln, der Sonderzeichen enthält, die bei der Ausführung des in VirusEvent angegebenen Befehls nicht escape werden. Bemerkenswert ist, dass eine ähnliche Schwachstelle bereits 2004 behoben wurde, ebenfalls durch das Entfernen der Unterstützung für die Substitution „%f“, die dann in der Version ClamAV 0.104 wiederhergestellt wurde und zur Wiederbelebung der alten Schwachstelle führte. Bei der alten Schwachstelle genügte es, eine Datei mit dem Namen „; mkdir owned“ zu erstellen und darin eine Testsignatur eines Virus zu speichern, um seinen Befehl während der Virusüberprüfung auszuführen.
- CVE-2024-20290 — ein Buffer Overflow im Code der Analyse von Dateien mit OLE2-Inhalten, der von einem entfernten, nicht authentifizierten Angreifer ausgenutzt werden kann, um eine Dienstverweigerung (Absturz des Scanprozesses) herbeizuführen. Das Problem wird durch unzureichende Überprüfung des Zeilenendes während des Scannens des Inhalts verursacht, was zu einem Lesen außerhalb des Puffers führt.
Quelle: opennet.ru
