🥇ClamAV 1.5.4 et 1.4.6

Le 7 août, des mises à jour correctives du paquet antivirus libre ont été publiées ClamAV 1.5.4 et 1.4.6. Les nouvelles versions se concentrent principalement sur la sécurité : la branche actuelle 1.5 a corrigé huit CVE, dont six ont également été corrigés dans la branche supportée 1.4. De plus, un problème dans clamd a été résolu, ce qui pouvait entraîner la divulgation du contenu de la mémoire du processus.

Dans ClamAV 1.5.4 les vulnérabilités suivantes ont été corrigées :

CVE-2026-20337 — une erreur de calcul de la taille du répertoire ZIP pouvait entraîner une écriture au-delà de la mémoire allouée dans le tampon lors de l'indexation des en-têtes de fichiers locaux. Sont vulnérables les versions ClamAV 1.5.0 à 1.5.3.
CVE-2026-20338 — une erreur de gestion de la mémoire lors de la fusion des enregistrements de répertoire ZIP pouvait entraîner une libération incorrecte de la mémoire lors du traitement d'une archive spécialement conçue. Cela ne concernait que la branche 1.5.
CVE-2026-20345 — une erreur d'indexation lors de la conversion des noms de partitions GPT permettait de lire ou d'écrire des données au-delà de la structure de partition située dans la pile. Le problème était présent depuis ClamAV 0.98.2.
CVE-2026-20339 — un débordement d'entier dans le décompresseur PESpin pouvait entraîner l'allocation d'un tampon trop petit avec une écriture au-delà de celui-ci lors de la récupération d'un fichier PE. La vulnérabilité existait depuis ClamAV 0.90.
CVE-2026-20346 — un débordement d'entier vers le bas dans l'analyseur PDF pouvait provoquer une fermeture anormale du processus lors de la lecture d'une chaîne hexadécimale incorrecte.
CVE-2026-20347 — un débordement d'entier et un comportement indéfini dans l'analyseur Mach-O pouvaient entraîner l'arrêt du scanner lors de la vérification d'un fichier spécialement conçu.
CVE-2026-20348 — des erreurs de vérification de taille dans l'analyseur XAR pouvaient entraîner une allocation excessive de mémoire ou un dépassement des limites de numérisation lors de la décompression d'une table de contenu corrompue.
CVE-2025-8088 — un correctif en amont a été intégré dans la bibliothèque UnRAR livrée avec ClamAV. Sur Windows, les séparateurs de chemin dans les noms de flux alternatifs NTFS pouvaient permettre d'extraire des données en dehors du répertoire temporaire de ClamAV.

Dans ClamAV 1.4.6 six des vulnérabilités listées ont été corrigées : CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 et CVE-2025-8088. Deux problèmes du gestionnaire ZIP — CVE-2026-20337 et CVE-2026-20338 — concernent le code de la branche 1.5 et ne sont donc pas pertinents pour 1.4.

Les développeurs ont également résolu un ancien problème de sécurité des threads de la commande clamd STATISTIQUES. Lors de l'exécution simultanée d'analyses et de requêtes de statistiques, une course pourrait conduire à la divulgation de données de la mémoire du processus ou à l'arrêt du démon. Cette erreur était présente dans ClamAV depuis la version 0.95. Le traitement des écritures partielles dans la socket lors de l'envoi de grandes réponses STATS a également été corrigé. Cette correction est incluse dans les deux nouvelles versions.

Pour FreeBSD, le fonctionnement sécurisé des opérations de déplacement en quarantaine et de suppression de fichiers est à nouveau opérationnel. Dans la version 1.5.4, une fuite de contexte OpenSSL lors de l'utilisation de fonctions de hachage obsolètes dans certaines configurations a été corrigée, en particulier lorsque le fournisseur standard est indisponible dans un environnement avec FIPS. Dans les deux branches, la dépendance Rust crossbeam-epoch a été mise à jour pour éliminer l'avertissement. RUSTSEC-2026-0204.

ClamAV est un package antivirus libre et multiplateforme et un ensemble de bibliothèques pour la détection de logiciels malveillants, largement utilisé sur des serveurs Linux et de messagerie. Le projet est distribué sous la licence GNU GPLv2.

Source : linux.org.ru