Cisco on välja andnud viirusetõrjepaketi ClamAV 1.3.0 ja kõrvaldanud ohtliku haavatavuse.

Pärast kuut kuud arendust on Cisco välja andnud tasuta viirusetõrje paketi ClamAV 1.3.0. Projekt läks Cisco kätte 2013. aastal pärast Sourcefire'i ostmist, kes arendas ClamAV-d ja Snorti. Projekti kood on saadaval GPLv2 litsentsi alusel. Haru 1.3.0 kuulub tavaliste (mitte LTS) kategooriasse, millele avaldatakse uuendusi vähemalt 4 kuud pärast järgmise haru esmakordset väljalaskmist. Signatuuride andmebaasi laadimise võimalus mitte-LTS harude jaoks on samuti tagatud vähemalt veel 4 kuud pärast järgmise haru väljalaskmist.

ClamAV 1.3 peamised täiustused:

• Lisatud tugi Microsoft OneNote'i failides kasutatavate manuste ekstraktsiooniks ja kontrollimiseks. OneNote formaadi analüüs on vaikimisi sisse lülitatud, kuid seda saab vajadusel keelata, seades clamd.conf failis parameetri „ScanOneNote no“, käivitades clamscan tööriista käsurea suvandiga „—scan-onenote=no“ või lisades CL_SCAN_PARSE_ONENOTE lipu options.parse parameetrisse, kui kasutatakse libclamav-d.
• ClamAV ehitamine BeOS sarnases operatsioonisüsteemis Haiku on paranenud.
• Clamd-sse on lisatud kontroll ajutise failide katalooge, mille on määranud clamd.conf failis direktiiv TemporaryDirectory. Kui seda katalooge ei leita, lõpetatakse protsess nüüd vigade teatega.
• CMake'is staatiliste teekide ehitamise seadistamisel on tagatud staatiliste teekide libclamav_rust, libclammspack, libclamunrar_iface ja libclamunrar, mis on kasutusel libclamav-is, seadmine.
• Tehtud on failitüübi määramine koostatud Python-skeemide (.pyc) puhul. Failitüüp edastatakse stringiparameetrina CL_TYPE_PYTHON_COMPILED, mida toetavad funktsioonid clcb_pre_cache, clcb_pre_scan ja clcb_file_inspection.
• Parandatud on PDF-dokumentide dekrüpteerimise toetamist, millel puudub parool.

Samaaegselt on välja antud uuendused ClamAV 1.2.2 ja 1.0.5, milles on kõrvaldatud kaks haavatavust, mis mõjutavad harusid 0.104, 0.105, 1.0, 1.1 ja 1.2:

• CVE-2024-20328 — võimalus suunata käske clamd failide kontrollimise protsessis, mis tuleneb „VirusEvent“ direktiivi vale rakendamise tõttu, mida kasutatakse juhuslike käskude käivitamiseks viirusetuvastamisel. Haavatavuse kasutamise üksikasjad ei ole veel avaldatud, on teada vaid, et probleem on lahendatud, keelates ‘%f’ stringi vormindamise parameetri toetamist VirusEventis, mis asendati nakatunud faili nimega.

  Ilmselt on rünnak seotud kohandatud nakatunud faili nime edastamisega, mis sisaldab spetsiaalvariante, mida ei escape'ita käskude käivitamisel VirusEventis. Märkimisväärne on, et sarnase haavatavuse kõrvaldamine toimus juba 2004. aastal ja samuti eemaldades ‘%f’ asendamise toe, mis hiljem taaskohandati ClamAV 0.104 väljalaskmisel, mis tõi vana haavatavuse tagasi. Vana haavatavuse korral oli viirusetuvastuse ajal oma käsu täitmiseks vajalik lihtsalt luua fail nimega „; mkdir owned“ ja kirjutada sinna viiruse testisignatuur.

• CVE-2024-20290 — puhverületus OLE2 formaadis sisu analüüsi koodis, mida eemaldamatu autentimata ründaja võib kasutada teenuse katkestamiseks (skaneerimise protsessi kokkuvarisemine). Probleem tuleneb vale rea lõpu kontrollimisest sisu skannimisel, mis viib lugemiseni puhvri piiridest välja.

Allikas: opennet.ru