Nakon šest mjeseci razvoja, tvrtka Cisco objavila je izdanje slobodnog antivirusnog paketa ClamAV 1.3.0. Projekt je prešao u ruke Cisco-a 2013. godine nakon kupnje tvrtke Sourcefire, koja je razvijala ClamAV i Snort. Izvorni kod projekta distribuira se pod GPLv2 licencom. Grana 1.3.0 pripada kategoriji obično (ne LTS), čija se ažuriranja objavljuju najmanje četiri mjeseca nakon izlaska prvog izdanja sljedeće grane. Mogućnost preuzimanja baze potpisnika za ne-LTS grane također se osigurava najmanje još četiri mjeseca nakon izdanja sljedeće grane.
Ključna poboljšanja u ClamAV 1.3:
- Dodana podrška za ekstrakciju i provjeru privitaka korištenih u datotekama Microsoft OneNote. Parsiranje OneNote formata uključeno je prema zadanim postavkama, ali se može onemogućiti pomoću opcije 'ScanOneNote no' u clamd.conf, navedene opcije komandne linije '--scan-onenote=no' prilikom pokretanja alata clamscan ili dodavanjem ključa CL_SCAN_PARSE_ONENOTE u parametar options.parse pri korištenju libclamav.
- Osigurana podrška za izgradnju ClamAV-a u BeOS-sličnom operacijskom sustavu Haiku.
- U clamd dodana provjera postojanja direktorija za privremene datoteke, navedenog u clamd.conf putem direktive TemporaryDirectory. U slučaju nepostojanja tog direktorija, proces sada završava s ispunjenom greškom.
- Pri postavljanju izgradnje statičkih biblioteka u CMake, osigurana je instalacija statičkih biblioteka libclamav_rust, libclammspack, libclamunrar_iface i libclamunrar, koji se koriste u libclamav.
- Implementirano je određivanje tipa datoteke za kompilirane Python skripte (.pyc). Tip datoteke se prosljeđuje u obliku niza parametra CL_TYPE_PYTHON_COMPILED, koji se podržava u funkcijama clcb_pre_cache, clcb_pre_scan i clcb_file_inspection.
- Poboljšana je podrška za dekriptiranje PDF dokumenata bez lozinke.
Istovremeno su formirana ažuriranja ClamAV 1.2.2 i 1.0.5, u kojima su ispravljene dvije ranjivosti koje utječu na grane 0.104, 0.105, 1.0, 1.1 i 1.2:
- CVE-2024-20328 — mogućnost ubacivanja komandi tijekom provjere datoteka u clamd-u zbog greške u implementaciji direktive 'VirusEvent', korištene za pokretanje proizvoljne komande prilikom otkrivanja virusa. Detalji iskorištavanja ranjivosti trenutno nisu otkriveni, poznato je samo da je problem ispravljen putem onemogućavanja podrške u VirusEvent parametru formatiranja niza '%f', koji je zamijenjen s imenom zaražene datoteke.
Na osnovu dostupnih informacija, napad se svodi na prijenos posebno oblikovanog imena zaraženog datoteke, koje sadrži posebne simbole koji se ne ekranuju prilikom pokretanja naredbe navedene u VirusEventu. Zanimljivo je da je slična ranjivost već ispravljena 2004. godine, također uklanjanjem potpore za zamjenske znakove ‘%f’, koja je potom vraćena u izdanju ClamAV 0.104 i dovela do ponovnog pojavljivanja stare ranjivosti. U staroj ranjivosti bilo je dovoljno stvoriti datoteku s imenom „; mkdir owned“ i u nju zapisati testnu potpisnu oznaku virusa za izvršavanje svoje naredbe tijekom provjere na viruse.
- CVE-2024-20290 — prelivanje bafera u kodu za analizu datoteka sa sadržajem u OLE2 formatu, koje udaljeni neautentificirani napadač može iskoristiti za nego serviranje (srušavanje procesa skeniranja). Problem je uzrokovan nepravilnom provjerom kraja linije tijekom skeniranja sadržaja, što dovodi do čitanja izvan granica bafera.
Izvor: opennet.ru
