La empresa Cisco ha presentado una nueva versión significativa del paquete antivirus gratuito ClamAV 0.105.0, así como ha publicado versiones corregidas de ClamAV 0.104.3 y 0.103.6 que corrigen vulnerabilidades y errores. Recordemos que el proyecto pasó a manos de Cisco en 2013 tras la compra de Sourcefire, que desarrollaba ClamAV y Snort. El código del proyecto se distribuye bajo la licencia GPLv2.
Mejoras clave en ClamAV 0.105:
- Se ha incluido un compilador para el lenguaje Rust como una dependencia obligatoria para la compilación. Se requiere al menos la versión 1.56 de Rust. Las bibliotecas de dependencias en Rust están incluidas en la composición principal del paquete ClamAV.
- Se ha reescrito en el lenguaje Rust el código para la actualización incremental de la base de datos (CDIFF). La nueva implementación ha permitido acelerar significativamente la aplicación de actualizaciones que eliminan un gran número de firmas de la base de datos. Este es el primer módulo reescrito en Rust.
- Se han incrementado los valores de límite establecidos por defecto:
- MaxScanSize: 100M > 400M
- MaxFileSize: 25M > 100M
- StreamMaxLength: 25M > 100M
- PCREMaxFileSize: 25M > 100M
- MaxEmbeddedPE: 10M > 40M
- MaxHTMLNormalize: 10M > 40M
- MaxScriptNormalize: 5M > 20M
- MaxHTMLNoTags: 2M > 8M
- El tamaño máximo de cadena en los archivos de configuración freshclam.conf y clamd.conf ha aumentado de 512 a 1024 caracteres (al especificar tokens de acceso, el parámetro DatabaseMirror podría exceder 512 bytes).
- Para identificar imágenes utilizadas en phishing o en la distribución de malware, se ha implementado el soporte para un nuevo tipo de firmas lógicas, que utilizan el método de hashing borroso (fuzzy hashing), permitiendo detectar objetos similares con un cierto grado de probabilidad. Para generar un hash borroso para una imagen, se puede utilizar el comando «sigtool —fuzzy-img».
- ClamScan y ClamDScan ahora incluyen la capacidad de escanear la memoria de los procesos. Esta opción se ha trasladado del paquete ClamWin y es específica para la plataforma Windows. En ClamScan y ClamDScan para Windows se han añadido las opciones «—memory», «—kill» y «—unload».
- Se han actualizado los componentes de runtime para la ejecución de bytecode, basados en LLVM. Para aumentar el rendimiento del escaneo en comparación con el intérprete de bytecode que se ofrece por defecto, se ha propuesto un modo de compilación JIT. Se ha terminado el soporte para versiones anteriores de LLVM; ahora se pueden usar versiones de LLVM de la 8 a la 12.
- Se ha añadido la configuración GenerateMetadataJson a Clamd, equivalente a la opción «—gen-json» en clamscan, que registra en el archivo metadata.json los metadatos sobre el progreso del escaneo en formato JSON.
- Se ha proporcionado la posibilidad de compilación utilizando la biblioteca externa TomsFastMath (libtfm), que se incluye mediante las opciones «-D ENABLE_EXTERNAL_TOMSFASTMATH=ON», «-D TomsFastMath_INCLUDE_DIR=<path>» y «-D TomsFastMath_LIBRARY=<path>». La copia incluida de la biblioteca TomsFastMath se ha actualizado a la versión 0.13.1.
- Se ha mejorado el comportamiento de la utilidad Freshclam al manejar el tiempo de espera ReceiveTimeout, que ahora interrumpe solo las descargas que están atascadas y no interrumpe las descargas activas lentas que transmiten datos a través de conexiones deficientes.
- Se ha añadido soporte para compilar ClamdTop utilizando la biblioteca ncursesw en caso de que no esté disponible ncurses.
- Se han corregido vulnerabilidades:
- CVE-2022-20803 — doble liberación de memoria en el analizador de archivos OLE2.
- CVE-2022-20770 — bucle infinito en el analizador de archivos CHM.
- CVE-2022-20796 — cierre inesperado debido a la desreferenciación de un puntero nulo en el código de verificación de caché.
- CVE-2022-20771 — bucle infinito en el analizador de archivos TIFF.
- CVE-2022-20785 — fuga de memoria en el analizador HTML y en el normalizador de Javascript.
- CVE-2022-20792 — desbordamiento de búfer en el módulo de carga de la base de firmas.
Fuente: opennet.ru
