Cisco ha lanzado nuevas versiones de su suite antivirus gratuita ClamAV, 1.4.3 y 1.0.98, que solucionan vulnerabilidades, una de las cuales podría llevar a la ejecución de código de atacantes al escanear contenido especialmente diseñado.
- CVE-2025-20260: un error en el código de análisis de archivos PDF que provoca que los datos se escriban más allá del búfer asignado. El problema se manifiesta en configuraciones donde el tamaño máximo de archivo y el tamaño de escaneo son iguales o superiores a 1024 MB y 1025 MB, respectivamente. La explotación de esta vulnerabilidad es posible a partir de la versión 1.0.0 y puede provocar la ejecución de código con los privilegios del proceso ClamAV.
- CVE-2025-20234 — Un error en el código de análisis de archivos UDF provoca la lectura de datos de un área de memoria fuera del búfer asignado. El problema puede provocar un fallo del proceso o una fuga de datos de la memoria a un archivo temporal. La vulnerabilidad se manifiesta a partir de la versión 1.2.0.
- Acceso tras la liberación en el descompresor del archivo xz (CVE no asignado). El problema se debe a un error en la biblioteca lzma-sdk integrada en el código de ClamAV, corregido en el proyecto principal en lzma-sdk 18.03, publicado en 2018 sin mencionar la corrección. La vulnerabilidad afecta a todas las versiones de ClamAV desde la 0.99.4.
Fuente: opennet.ru