7. kolovoza objavljene su ispravke slobodnog antivirusnog paketa ClamAV 1.5.4 i 1.4.6. Glavna pažnja u novim verzijama posvećena je sigurnosti: u aktuelnoj grani 1.5 zatvoreno je osam CVE, od kojih je šest također ispravljeno u podržavanoj grani 1.4. Osim toga, ispravljen je problem u clamd-u koji je mogao dovesti do otkrivanja sadržaja memorije procesa.
U ClamAV 1.5.4 ispravljene su sljedeće ranjivosti:
- CVE-2026-20337 — pogreška u praćenju veličine ZIP direktorija mogla je dovesti do pisanja izvan dodijeljenog bafera u heap-u prilikom indeksiranja lokalnih zaglavlja datoteka. Ranjive verzije ClamAV 1.5.0–1.5.3.
- CVE-2026-20338 — pogreška u upravljanju memorijom prilikom kombiniranja zapisa ZIP direktorija mogla je dovesti do neispravnog oslobađanja memorije prilikom obrade posebno formiranog arhiva. Također se ticala samo grane 1.5.
- CVE-2026-20345 — pogreška indeksiranja prilikom pretvaranja naziva GPT particija omogućavala je čitanje ili pisanje podataka izvan strukture particije smještene na steku. Problem je prisutan od ClamAV 0.98.2.
- CVE-2026-20339 — cijelo brojno prelivanje u dekompresoru PESpin moglo je dovesti do alociranja previše malog bafera s kasnijim pisanjem izvan njega prilikom obnavljanja PE datoteke. Ranjivost je postojala od ClamAV 0.90.
- CVE-2026-20346 — cijelo brojno prelivanje u analizatoru PDF moglo je izazvati rušenje procesa prilikom čitanja neispravnog heksadecimalnog niza.
- CVE-2026-20347 — cijelo brojno prelivanje i neodređeno ponašanje u analizatoru Mach-O mogli su dovesti do pada skenera prilikom provjere posebno formirane datoteke.
- CVE-2026-20348 — pogreške u provjeri veličina u analizatoru XAR omogućile su izazivanje prekomjerne alokacije memorije ili prelazak postavljenih ograničenja skeniranja prilikom dekompresije oštećene tablice sadržaja.
- CVE-2025-8088 — u distribuiranu s ClamAV ispravku biblioteke UnRAR prenesen je upstream patch. Na Windowsu, odjeljivači putanje unutar imena alternativnih NTFS tokova mogli su omogućiti vađenje podataka izvan privremenog direktorija ClamAV.
U ClamAV 1.4.6 ispravljena su šest od navedenih ranjivosti: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 i CVE-2025-8088. Dvije probleme u ZIP obradi — CVE-2026-20337 i CVE-2026-20338 — odnose se na kod grane 1.5 i stoga nisu relevantne za 1.4.
Odvojeno, programeri su ispravili dugotrajni problem s thread-safe obradom naredbe clamd STATISTIKA. Tijekom istovremenog izvođenja skeniranja i zahtjeva za statistiku, trka bi mogla dovesti do otkrivanja podataka iz memorije procesa ili pada demona. Greška je postojala u ClamAV-u od verzije 0.95. Također je ispravljena obrada djelomičnog zapisa u socketu prilikom slanja velikih odgovora STATISTIKA. Ispravak je uključen u obje nove verzije.
Za FreeBSD ponovno radi sigurno obavljanje operacija premještanja u karantenu i brisanja datoteka. U 1.5.4 dodatno je uklonjena curenje konteksta OpenSSL prilikom korištenja zastarjelih funkcija heširanja u nekim konfiguracijama, posebno kada standardni pružatelj nije dostupan u FIPS okruženju. U obje verzije ažurirana je Rust ovisnost crossbeam-epoch za uklanjanje upozorenja RUSTSEC-2026-0204.
ClamAV je višenamjenski slobodni antivirusni paket i skup biblioteka za otkrivanje zloćudnog softvera, široko korišten u Linux i poštanskim poslužiteljima. Projekt je dostupan pod licencom GNU GPLv2.
Izvor: linux.org.ru
