Ilmaisen virustorjuntapaketin korjauspäivitykset julkaistiin 7. elokuuta ClamAV 1.5.4 ja 1.4.6Uudet versiot keskittyvät tietoturvaan: kahdeksan CVE-haaraa on suljettu nykyisessä 1.5-haarassa, joista kuusi on korjattu myös tuetussa 1.4-haarassa. Lisäksi on korjattu clamd-haavoittuvuus, joka saattoi johtaa prosessimuistin paljastumiseen.
В ClamAV 1.5.4 Seuraavat haavoittuvuudet on korjattu:
- CVE-2026-20337 — ZIP-hakemiston koon laskennassa oleva virhe voi johtaa rajojen ulkopuoliseen kekokirjoitukseen paikallisten tiedostojen otsikoita indeksoitaessa. ClamAV-versiot 1.5.0–1.5.3 ovat haavoittuvia.
- CVE-2026-20338 — Muistin hallintavirhe ZIP-hakemistomerkintöjä yhdistettäessä saattoi johtaa virheelliseen muistin vapauttamiseen käsiteltäessä erityisesti muodostettua arkistoa. Tämä vaikutti vain 1.5-haaraan.
- CVE-2026-20345 — GPT-osioiden nimiä muunnettaessa ilmeni indeksointivirhe, joka mahdollisti datan lukemisen tai kirjoittamisen osion pinopohjaisen rakenteen ulkopuolelle. Tämä ongelma on ollut olemassa ClamAV 0.98.2:sta lähtien.
- CVE-2026-20339 — Kokonaisluvun ylivuoto PESpin-purkajassa saattoi johtaa liian pienen puskurin varaamiseen, jota seurasi sallittujen rajojen ulkopuolinen kirjoitus PE-tiedostoa palautettaessa. Haavoittuvuus oli olemassa ClamAV 0.90:stä lähtien.
- CVE-2026-20346 - PDF-jäsentimen kokonaisluvun alivuotomaisuus saattoi aiheuttaa prosessin kaatumisen luettaessa virheellistä heksadesimaalimerkkijonoa.
- CVE-2026-20347 — Mach-O-analysaattorin kokonaisluvun ylivuotoon ja määrittelemättömään toimintaan liittyvä haavoittuvuus voi aiheuttaa skannerin kaatumisen skannattaessa erityisesti muodostettua tiedostoa.
- CVE-2026-20348 — XAR-jäsentimen koon tarkistusvirheet voivat aiheuttaa muistin ylivarausta tai skannausrajojen ylittymistä vioittuneen sisällysluettelon purkamisen yhteydessä.
- CVE-2025-8088 — ylävirran korjaus on siirretty ClamAV:n mukana toimitettuun UnRAR-kirjastoon. Windows NTFS-vaihtoehtoisten tietovirtojen nimien polkuerottimet saattavat mahdollistaa tietojen poimimisen ClamAV-väliaikaishakemiston ulkopuolelta.
В ClamAV 1.4.6 Kuusi luetelluista haavoittuvuuksista on korjattu: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 и CVE-2025-8088Kaksi ongelmaa ZIP-käsittelijän kanssa - CVE-2026-20337 и CVE-2026-20338 — liittyvät sivukonttorin koodiin 1.5 eivätkä siksi ole merkityksellisiä sivukonttorin koodille 1.4.
Kehittäjät korjasivat erikseen pitkään jatkuneen ongelman komennon säikeiden turvallisuudessa. clamd-tilastotKun tilastoja skannataan ja kysellään samanaikaisesti, kilpailutilanne voi johtaa tietojen paljastumiseen prosessimuistista tai daemonin kaatumiseen. Tämä virhe on ollut ClamAV:ssa versiosta 0.95 lähtien. Myös osittaisten sokettikirjoitusten käsittely suuria STATS-vastauksia lähetettäessä on korjattu. Korjaus sisältyy molempiin uusiin versioihin.
Tiedostojen karanteeniin siirtämisen ja poistamisen turvallisia toimintoja tuetaan nyt jälleen FreeBSD:ssä. Versiossa 1.5.4 korjataan myös OpenSSL-kontekstivuoto, joka ilmenee käytettäessä vanhoja hajautusfunktioita joissakin kokoonpanoissa, erityisesti silloin, kun oletusarvoinen toimittaja ei ole käytettävissä FIPS-ympäristössä. Crossbeam-epoch Rust -riippuvuutta on päivitetty molemmissa haaroissa varoituksen ratkaisemiseksi. RUSTSEC-2026-0204.
ClamAV on ilmainen, alustojen välinen virustorjuntaohjelmisto ja haittaohjelmien tunnistuskirjasto-ohjelmistopaketti, jota käytetään laajalti... Linux- ja sähköpostipalvelimet. Projekti jaetaan lisenssin alaisuudessa GNU GPLv2.
Lähde: linux.org.ru
