La société Cisco a présenté une nouvelle version importante de son paquet antivirus libre ClamAV 0.104.0. Rappelons que le projet est passé sous la direction de Cisco en 2013 après l'acquisition de Sourcefire, qui développe ClamAV et Snort. Le code du projet est distribué sous la licence GPLv2.
Parallèlement, Cisco a annoncé le début de la création de branches ClamAV à support à long terme (LTS), qui seront maintenues pendant trois ans à partir de la publication du premier paquet de la branche. La première branche LTS sera ClamAV 0.103, avec des mises à jour pour corriger les vulnérabilités et les problèmes critiques publiées jusqu'en 2023.
Les mises à jour pour les branches normales, non classées LTS, seront publiées pendant au moins encore 4 mois après la sortie du premier paquet de la branche suivante (par exemple, les mises à jour pour la branche ClamAV 0.104.x seront publiées encore 4 mois après la sortie de ClamAV 0.105.0). La possibilité de télécharger la base de signatures pour les branches non-LTS sera également assurée pendant au moins 4 mois après la sortie de la branche suivante.
Un autre changement marquant est la création de paquets d'installation officiels permettant de mettre à jour sans avoir à recompiler à partir des sources et sans attendre la disponibilité des paquets dans les distributions. Les paquets sont disponibles pour Linux (au format RPM et DEB pour les architectures x86_64 et i686), macOS (pour x86_64 et ARM64, y compris la prise en charge de la puce Apple M1) et Windows (x64 et win32). De plus, la publication d'images de conteneurs officiels sur Docker Hub a débuté (des images sont proposées avec et sans base de signatures intégrée). D'autres RPM et DEB pour l'architecture ARM64 ainsi que des versions pour FreeBSD (x86_64) sont prévus pour publication.
Améliorations clés de ClamAV 0.104 :
- Adoption de CMake comme système de construction requis pour compiler ClamAV. La prise en charge des systèmes de construction Autotools et Visual Studio a été annulée.
- Les composants LLVM intégrés ont été supprimés au profit de l'utilisation de bibliothèques externes LLVM déjà disponibles. En runtime, pour le traitement des signatures avec bytecode intégré, un interpréteur de bytecode sans prise en charge JIT est utilisé par défaut. Si vous avez besoin d'utiliser LLVM à la place de l'interpréteur de bytecode lors de la compilation, des chemins vers les bibliothèques LLVM 3.6.2 doivent être spécifiés explicitement (la prise en charge des versions plus récentes sera ajoutée ultérieurement).
- Les processus clamd et freshclam sont désormais disponibles également en tant que services Windows. Pour installer ces services, l'option « —install-service » est prévue, et pour les démarrer, vous pouvez utiliser la commande standard « net start [name] ».
- Une nouvelle option de scan a été ajoutée pour avertir de la transmission de fichiers graphiques corrompus, par lesquels des vulnérabilités dans les bibliothèques graphiques pourraient potentiellement être exploitées. La vérification de la validité du format est réalisée pour les fichiers JPEG, TIFF, PNG et GIF, et est activée par le paramètre AlertBrokenMedia dans clamd.conf ou l'option de ligne de commande « —alert-broken-media » dans clamscan.
- De nouveaux types CL_TYPE_TIFF et CL_TYPE_JPEG ont été ajoutés pour assurer l'uniformité avec la définition des fichiers aux formats GIF et PNG. Les types BMP et JPEG 2000 continuent d'être définis comme CL_TYPE_GRAPHICS, car ils ne supportent pas l'analyse de format.
- ClamScan a ajouté un indicateur de progression visuel pour le chargement des signatures et la compilation du moteur, exécutés avant le début du scan. Cet indicateur n'est pas affiché lorsqu'il est lancé en dehors d'un terminal ou si l'une des options « —debug », « —quiet », « —infected », « —no-summary » est spécifiée.
- Dans libclamav, des appels de rappel pour afficher la progression ont été ajoutés : cl_engine_set_clcb_sigload_progress(), cl_engine_set_clcb_engine_compile_progress() et engine free : cl_engine_set_clcb_engine_free_progress(), permettant aux applications de suivre et d'évaluer le temps d'exécution des étapes préliminaires de chargement et de compilation des signatures.
- L'option VirusEvent a été enrichie pour prendre en charge le format de chaîne « %f » pour substituer le chemin du fichier dans lequel le virus a été identifié (similaire au format « %v » avec le nom du virus identifié). Dans VirusEvent, une fonctionnalité similaire est également disponible via les variables d'environnement $CLAM_VIRUSEVENT_FILENAME et $CLAM_VIRUSEVENT_VIRUSNAME.
- Les performances du module de décompression des scripts AutoIt ont été améliorées.
- Ajout d'une prise en charge pour l'extraction d'images des fichiers *.xls (Excel OLE2).
- Il est désormais possible de télécharger des hachages Authenticode basés sur l'algorithme SHA256 sous forme de fichiers *.cat (utilisés pour la vérification des fichiers exécutables Windows signés numériquement).
Source : opennet.ru
