🥇ClamAV 1.5.4 ja 1.4.6

7. augustil avaldati tasuta antiviiruspaketi paranduste väljalasked ClamAV 1.5.4 ja 1.4.6. Uute versioonide peamine tähelepanu on keskendunud turvalisusele: versioonis 1.5 on suletud kaheksa CVE-d, millest kuus on parandatud ka toetatavas versioonis 1.4. Lisaks on lahendatud probleem clamd-is, mis võis viia protsessi mälu sisu avalikuks muutumiseni.

V ClamAV 1.5.4 parandatud järgmised haavatavused:

CVE-2026-20337 — ZIP katalooge suuruse arvestamise viga võis põhjustada selle, et kohalike failide päiste indekseerimise käigus kirjutati mälu kuhja, mis oli eraldatud. Haavatavad versioonid ClamAV 1.5.0–1.5.3.
CVE-2026-20338 — mälu haldamise viga ZIP kataloogide rekordite ühinemise ajal võis põhjustada vale mälu vabastamise specialiseeritud arhivi töötlemisel. See puudutas ainult versiooni 1.5.
CVE-2026-20345 — indeksimisviga GPT jagunemiste nimede muutmisel võimaldas lugeda või kirjutada andmeid jagunemise struktuuri piiridest, mis asus kuhjas. Probleem ilmnes alates ClamAV 0.98.2.
CVE-2026-20339 — täisarvuline ülevool PESpin-i dekompressoris võis viia liiga väikese puhfrini, mille tulemusena kirjutati see üle PE-faili taastamise käigus. Haavatavus eksisteeris alates ClamAV 0.90.
CVE-2026-20346 — PDF analüsaatoris tekkiv täisarvuline ülevool võis põhjustada protsessi kokkuvarisemise vale kuusnurkse stringi lugemisel.
CVE-2026-20347 — täisarvuline ülevool ja määratlemata käitumine Mach-O analüsaatoris võisid põhjustada skaneerimise kokkuvarisemise spetsiaalselt koostatud faili kontrollimisel.
CVE-2026-20348 — suuruse kontrollimise vead XAR analüsaatoris võimaldasid põhjustada ülemäärast mälu eraldamist või ületada skaneerimisepiire kahjustatud sisu tabeli dekompressimisel.
CVE-2025-8088 — ClamAV-sse pakutav UnRAR teek on saanud upstream paranduse. Windowsis võisid NTFS-i alternatiivsete voogude nimekaardid lubada andmete väljavõtmist ClamAV ajutise katalooge ületavalt.

V ClamAV 1.4.6 parandatud kuus loetletud haavatavust: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 ja CVE-2025-8088. Kaks ZIP töötlemise probleemi — CVE-2026-20337 ja CVE-2026-20338 — kuuluvad versioonide 1.5 koodi ja seega ei ole 1.4 jaoks aktuaalsed.

Erakordselt lahendasid arendajad vana probleemiga, mis puudutab terviklikkust. clamd STATISTIKA. Kui skannimine ja statistiliste päringute täitmine toimusid samaaegselt, võis võidusõit viia protsessi mälust andmete lekkele või demonite kokkuvarisemisele. Viga esines ClamAV versioonist 0.95 alates. Samuti on parandatud osaliste kirjutiste käsitlemist soketis suurte STATISTIKA vastuste saatmisel. Parandus on lisatud mõlemasse uude versiooni.

FreeBSD-s töötab taas failide karantiini ja kustutamise turvaline töötlus. Versioonis 1.5.4 on täiendavalt eemaldatud OpenSSL konteksti leke mõnedes konfiguratsioonides, eriti kui standardne pakkuja ei ole FIPS-iga keskkonnas saadaval. Mõlemas haru on värskendatud Rust sõltuvus crossbeam-epoch hoiatuse kõrvaldamiseks. RUSTSEC-2026-0204.

ClamAV on platvormidevaheline avatud lähtekoodiga viirusetõrjepakett ja raamatukogude kogum pahavara tuvastamiseks, mida kasutatakse laialdaselt Linuxi ja meiliserverites. Projekt on litsentsitud GNU GPLv2.

Allikas: linux.org.ru