Cisco tõi turule viirusetõrjepaketi ClamAV 1.3.0 ja kõrvaldas tõsise haavatavuse.

Pärast kuue kuu arengut avaldas Cisco vabavara viirusetõrjepaketi ClamAV 1.3.0. Projekt läks Cisco kätte 2013. aastal pärast Sourcefire'i ostu, mis arendas ClamAV ja Snort. Projekti kood jagatakse GPLv2 litsentsi alusel. 1.3.0 versioon klassifitseeritakse tavalisteks (mitte LTS) versioonideks, millele antakse uuendusi minimaalset 4 kuud pärast järgmise versiooni alguskuupäeva. Samuti on signatuuribaasi allalaadimise võimalus mitte-LTS versioonide jaoks tagatud vähemalt 4 kuud pärast järgmise versiooni väljaandmist.

ClamAV 1.3 peamised uuendused:

• Lisatud tugi Microsoft OneNote'i failide manuste eraldamiseks ja kontrollimiseks. OneNote'i formaadi analüüs on vaikimisi sisse lülitatud, kuid soovi korral saab selle keelata, määrates 'ScanOneNote no' seadistuses clamd.conf, kasutades käsurea valikut '—scan-onenote=no' utiliidi clamscan käivitamisel või lisades lipu CL_SCAN_PARSE_ONENOTE parameetrile options.parse kasutamisel libclamav.
• ClamAV-i koostamine BeOS-i sarnases operatsioonisüsteemis Haiku on sujuvam.
• Clamd'sse on lisatud kontroll katalooge jaoks ajutiste failide salvestamiseks, mis on määratud clamd.conf failis läbi direktiivi TemporaryDirectory. Kui see kataloog puudub, lõpetatakse protsess nüüd vea teadete edastamisega.
• CMake'is staatiliste teegikogumite seadistamisel on tagatud staatiliste teegikogumite libclamav_rust, libclammspack, libclamunrar_iface ja libclamunrar paigaldamine, mida kasutab libclamav.
• Teostatud on faili tüübi määramine kompileeritud Python-skripti (.pyc) jaoks. Faili tüüp edastatakse stringiparameetrina CL_TYPE_PYTHON_COMPILED, mida toetatakse funktsioonides clcb_pre_cache, clcb_pre_scan ja clcb_file_inspection.
• PDF-dokumentide, millel on tühi parool, dešifreerimise toetust on parendatud.

Samuti on välja antud uuendused ClamAV 1.2.2 ja 1.0.5, milles on kõrvaldatud kaks haavatavust, mis mõjutavad versioone 0.104, 0.105, 1.0, 1.1 ja 1.2:

• CVE-2024-20328 — käskude sisestamise võimalus failide kontrollimise protsessi käigus clamd-s, mis tuleneb veast „VirusEvent“ direktiivide rakendamises, mida kasutatakse libisemise vältimiseks, kui leitakse viirus. Üksikasjad haavatavuse ärakasutamise kohta ei ole veel avalikustatud, teada on ainult see, et probleem lahendati stringifitseerimise vormingu parameetri ‘%f’ toetuse keelamise kaudu, mis asendati nakatunud faili nimega.

  Ilmneb, et rünnak piirdub spetsiaalselt vormindatud nakatunud faili nime edastamisega, mis sisaldab spetsiifilisi sümboleid, mida käskude käivitamisel ei päästeta, nagu on määratud VirusEvent-is. Huvi pakub, et sarnane haavatavus eemaldati juba 2004. aastal ja samuti eemaldati lõpuks toetuse sisestamine ‘%f’ toetuse eemaldamise tõttu, mis seejärel toodi tagasi ClamAV 0.104 väljaandes ja viis vana haavatavuse taasilmunisse. Vanas haavatavuses oli viirusetõrje kontrollimisel piisav luua fail nimega „; mkdir owned“ ja salvestada sellesse testiv viirusisikud.

• CVE-2024-20290 — puhvri ülevool OLE2 formaadis failide analüüsi koodis, mida eemalt mitteautentitud ründaja võib kasutada teenuse tagamise keeldumise (skaneerimise protsessi kokkuvarisemine) tekitamiseks. Probleem tuleneb vale rea lõpu kontrollimisest skaneerimise käigus, mis viib mälupiiri ületavate alade lugemise.

Allikas: opennet.ru