Cisco je objavio nova izdanja besplatnog antivirusnog paketa ClamAV 1.0.1, 0.105.3 i 0.103.8, koja eliminiraju kritičnu ranjivost (CVE-2023-20032) koja bi mogla dovesti do izvršavanja koda prilikom skeniranja datoteka s posebno dizajniranim slikama diskova u ClamAV HFS+ format.
Ranjivost je uzrokovana nedostatkom odgovarajuće provjere veličine međuspremnika, što vam omogućuje pisanje podataka u područje izvan granice međuspremnika i organiziranje izvršavanja koda s pravima ClamAV procesa, na primjer, skeniranje datoteka izdvojenih iz pisma na poslužitelju pošte. Objavu ažuriranja paketa u distribucijama možete pratiti na stranicama: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD.
Nova izdanja također popravljaju još jednu ranjivost (CVE-2023-20052) koja može propuštati sadržaj iz bilo koje datoteke na poslužitelju kojoj pristupa proces koji izvodi skeniranje. Ranjivost se javlja prilikom raščlanjivanja posebno dizajniranih datoteka u DMG formatu i uzrokovana je činjenicom da raščlanjivač tijekom procesa raščlanjivanja dopušta zamjenu vanjskih XML elemenata koji su navedeni u raščlanjenoj DMG datoteci.
Izvor: opennet.ru