Antud on värskendus viirusetõrje paketile ClamAV 1.4.3 ja 1.0.9 haavatavuste kõrvaldamisega.

Cisco avaldas uued tasuta viirusetõrjepaketi ClamAV versioonid 1.4.3 ja 1.0.98, milles on parandatud haavatavused, millest üks võib võimaldada ründaja koodi täitmist spetsiaalselt koostatud sisu kontrollimisel.

• CVE-2025-20260 — viga PDF-failide töötlemise koodis, mis toob kaasa andmete kirjutamise väljapoole eraldatud puhverdusala. Probleem esineb konfiguratsioonides, kus maksimaalne file-size ja scan-size seade on 1024 MB ja 1025 MB või rohkem. Haavatavuse ärakasutamine on võimalik alates versioonist 1.0.0 ja see võib viia koodi täitmiseni ClamAV protsessi õigustes.
• CVE-2025-20234 — viga UDF-failide töötlemise koodis, mis toob kaasa andmete lugemise väljapoole eraldatud puhverdusala. Probleem võib põhjustada protsessi kokkuvarisemise või andmeleke ajutisse faili. Haavatavus on ilmnenud alates versioonist 1.2.0.
• Mälu juurde pääsemine pärast selle vabastamist xz-arhivide lahtipakkimise moodulis (CVE-d ei ole määratud). Probleem on tingitud veast ClamAV koodis integreeritud lzma-sdk teegis, mis on põhiprojektis parandatud versioonis lzma-sdk 18.03, mis avaldati 2018. aastal ilma haavatavuse parandamise mainimata. Haavatavus ilmneb kõigis ClamAV versioonides alates 0.99.4.
  
  Allikas: opennet.ru