Cisco on välja andnud viirusetõrjepaketi ClamAV 1.3.0 ja parandanud ohtliku haavatavuse

Pärast kuuekuulist arendustööd on Cisco avaldanud tasuta viirusetõrjekomplekti ClamAV 1.3.0. Projekt läks Cisco kätte 2013. aastal pärast ClamAV-i ja Snorti arendava ettevõtte Sourcefire ostmist. Projekti koodi levitatakse GPLv2 litsentsi all. 1.3.0 haru on klassifitseeritud tavaliseks (mitte LTS), mille uuendused avaldatakse vähemalt 4 kuud pärast järgmise haru esimest väljalaskmist. Allkirjade andmebaasi allalaadimise võimalus ka mitte-LTS-i filiaalide jaoks on ette nähtud veel vähemalt 4 kuuks pärast järgmise haru vabastamist.

ClamAV 1.3 peamised täiustused:

• Lisatud tugi Microsoft OneNote'i failides kasutatavate manuste ekstraktimiseks ja kontrollimiseks. OneNote'i sõelumine on vaikimisi lubatud, kuid selle saab soovi korral keelata, määrates failis clamd.conf "ScanOneNote'i ei", määrates clamscani utiliidi käitamisel käsurea valiku "--scan-onenote=no" või lisades lipu CL_SCAN_PARSE_ONENOTE. parameeter options.parse libclamavi kasutamisel.
• ClamAV-i kokkupanek BeOS-i sarnases operatsioonisüsteemis Haiku on loodud.
• Lisati failis clamd.conf määratud ajutiste failide kataloogi olemasolu kontrollimine clamd-ile käskkirja TemporaryDirectory kaudu. Kui see kataloog puudub, väljub protsess nüüd veaga.
• Staatiliste teekide ehitamise seadistamisel CMake'is on tagatud libclamavis kasutatavate staatiliste teekide libclamav_rust, libclammspack, libclamunrar_iface ja libclamunrar installimine.
• Rakendatud failitüübi tuvastamine koostatud Pythoni skriptide jaoks (.pyc). Failitüüp edastatakse stringiparameetri CL_TYPE_PYTHON_COMPILED kujul, mida toetavad funktsioonid clcb_pre_cache, clcb_pre_scan ja clcb_file_inspection.
• Täiustatud tugi PDF-dokumentide dekrüpteerimiseks tühja parooliga.

Samal ajal genereeriti ClamAV 1.2.2 ja 1.0.5 värskendused, mis parandasid kaks haavatavust, mis mõjutasid harusid 0.104, 0.105, 1.0, 1.1 ja 1.2:

• CVE-2024-20328 – käskude asendamise võimalus faili kontrollimise ajal rakenduses Clamd tõrke tõttu direktiivi "VirusEvent" rakendamisel, mida kasutatakse suvalise käsu käivitamiseks viiruse tuvastamisel. Haavatavuse ärakasutamise üksikasju pole veel avalikustatud, teada on vaid see, et probleem lahendati VirusEvent stringi vorminguparameetri '%f' toe keelamisega, mis asendati nakatunud faili nimega.

  Ilmselt taandub rünnak nakatunud faili spetsiaalselt loodud nime edastamisega, mis sisaldab erimärke, millest VirusEvent määratud käsu käivitamisel ei pääse. Tähelepanuväärne on, et sarnane haavatavus parandati juba 2004. aastal ja eemaldati ka '%f' asendustoe, mis seejärel tagastati ClamAV 0.104 väljalaskes ja viis vana haavatavuse taaselustamiseni. Vana haavatavus pidi viirusekontrolli ajal käsu täitmiseks looma ainult faili nimega "; mkdir owned" ja kirjutage sinna viirusetesti signatuur.

• CVE-2024-20290 on puhvri ületäitumine OLE2 faili sõelumiskoodis, mida autentimata kaugründaja võib kasutada teenuse keelamise (skannimisprotsessi krahhi) tekitamiseks. Probleemi põhjuseks on vale rea lõpu kontroll sisu skannimise ajal, mille tulemuseks on lugemine väljaspool puhvri piiri.

Allikas: opennet.ru