🥇ClamAV 1.5.4 ja 1.4.6

7. augustil avaldati tasuta viirusetõrje paketi parandused ClamAV 1.5.4 ja 1.4.6. Uute versioonide peamine fookus on turvalisusel: aktuaalses 1.5 versioonis on suletud kaheksa CVE-d, millest kuus on samuti parandatud toetatud 1.4 versioonis. Lisaks on lahendatud probleem clamd'is, mis võis viia protsessi mälusisalduse avalikustamiseni.

Uues ClamAV 1.5.4 parandatud järgmised haavatavused:

CVE-2026-20337 — ZIP katalooge suuruse arvestamise viga võis põhjustada mälu ületäitumise, kui indekseerida kohalike failide päiseid. Haavatavad versioonid ClamAV 1.5.0–1.5.3.
CVE-2026-20338 — mäluhaldusprobleem ZIP katalooge ühendades võis viia vale mälu vabastamiseni, kui töödelda spetsiaalselt loodud arhiveeritud faili. See puudutas ainult 1.5 versiooni.
CVE-2026-20345 — indekseerimisviga GPT jaotuste nimede konverteerimisel lubas lugeda või kirjutada andmeid väljaspool jaotuse struktuuri, mis asus virnas. Probleem oli olemas alates ClamAV 0.98.2-st.
CVE-2026-20339 — täisarvude ületäitumine PESpin'i dekompressor põhjustas liiga väikese puhvri eraldamise ja sellele järgnenud kirjutamise puhvri piiridest välja, kui taastati PE-fail. Haavatavus oli olemas alates ClamAV 0.90-st.
CVE-2026-20346 — täisarvude ületäitumine PDF-analyzer'is võis põhjustada protsessi kokkujooksmise, kui loeti vale kuhexakoodiga stringi.
CVE-2026-20347 — täisarvude ületäitumine ja ettearvamatu käitumine Mach-O analüsaatoris võisid põhjustada skanneri kokkuvarisemise, kui kontrolliti spetsiaalselt loodud faili.
CVE-2026-20348 — suuruste kontrollimise vead XAR analüsaatoris võisid põhjustada ülemäärast mälu eraldamist või ületada seadistatud skaneerimise piiranguid, kui töötati katkise sisu tabeliga.
CVE-2025-8088 — ClamAV-le kaasasolevasse UnRAR teeki on kantud allika parandused. Windowsis võisid NTFS alternatiivsete voogude nimedes olevad tee eraldajad lubada andmete ekstraktsiooni ClamAV ajutisest kataloogist väljapoole.

Uues ClamAV 1.4.6 parandatud kuus loetletud haavatavust: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 ja CVE-2025-8088. Kaks ZIP töötleja probleemi - CVE-2026-20337 ja CVE-2026-20338 — kuuluvad 1.5 versiooni koodi ja seetõttu ei ole need 1.4 jaoks olulised.

Eraldi on arendajad lahendanud pikaajalise probleemide voogude turvalisuse osas. clamd STATISTIKA. Samal ajal, kui käivitati skaneerimine ja statistika päringud, võis tõrge põhjustada andmete lekkimist protsessi mälust või demon nõrgenemist. Viga esines ClamAV-s alates versioonist 0.95. Samuti on parandatud osalise kirjutamise töötlemist soketis suurte STATS vastuste saatmisel. Parandus on kaasatud mõlemasse uude versiooni.

FreeBSD-le on taas võimalik ohutult teostada karantiini liikumise ja failide kustutamise operatsioone. Versioonis 1.5.4 on samuti kõrvaldatud OpenSSL konteksti leke, mis esines vananenud hashimisfunktsioonide kasutamisel teatud konfiguratsioonides, sealhulgas standardse teenusepakkuja puudumisel FIPSi keskkonnas. Mõlemas haru on värskendatud Rust sõltuvust crossbeam-epoch, et kõrvaldada hoiatus. RUSTSEC-2026-0204.

ClamAV on platvormideülene tasuta viirusetõrjeprogramm ja raamatukogude kogum kahjuliku tarkvara avastamiseks, mida kasutatakse laialdaselt Linuxi ja postiserverites. Projekt levib litsentsi alusel GNU GPLv2.

Allikas: linux.org.ru