Hat hónapos fejlesztés után a Cisco kiadta a ClamAV 1.3.0 szabad antivírus-csomag új verzióját. A projekt 2013-ban került a Cisco birtokába, miután a vállalat megvásárolta a ClamAV és Snort fejlesztőjét, a Sourcefire-t. A projekt kódja GPLv2 licenc alatt terjesztett. A 1.3.0 ág az általános (nem LTS) kategóriába tartozik, amelyek frissítéseit legalább négy hónapig közzéteszik a következő ág első kiadásának megjelenése után. A nem LTS ágak aláírási adatbázisának letöltési lehetősége szintén biztosított legalább még négy hónapig a következő ág kiadása után.
A ClamAV 1.3 kulcsfontosságú fejlesztései:
- Hozzáadva a Microsoft OneNote fájlokban használt mellékletek kiemelésének és ellenőrzésének támogatása. A OneNote formátum elemzése alapértelmezés szerint be van kapcsolva, de szükség esetén kikapcsolható a clamd.conf fájlban a „ScanOneNote no” beállítással, a clamscan indításakor a „—scan-onenote=no” parancssori opció megadásával, vagy a libclamav használata során a CL_SCAN_PARSE_ONENOTE zászló hozzáadásával az options.parse paraméterhez.
- A ClamAV összeállítása megtörtént a BeOS-szerű Haiku operációs rendszerben.
- A clamd-hez hozzáadva a ideiglenes fájlok mappájának ellenőrzése, amelyet a clamd.conf fájlban a TemporaryDirectory utasítással adtak meg. Ha ez a mappa nem létezik, a folyamat most hibaüzenettel leáll.
- A CMake-ben a statikus könyvtárak összeállításának beállításakor biztosították a libclamav_rust, libclammspack, libclamunrar_iface és libclamunrar statikus könyvtárak telepítését, amelyek a libclamav-ban használatosak.
- Megvalósítva a fájltípus meghatározását a lefordított Python szkriptekhez (.pyc). A fájltípus karakterlánc paraméterként kerül átadásra, amelyet a CL_TYPE_PYTHON_COMPILED támogat a clcb_pre_cache, clcb_pre_scan és clcb_file_inspection funkciókban.
- Javították a jelszó nélküli PDF-dokumentumok dekódolásának támogatását.
Egyidejűleg kiadásra került a ClamAV 1.2.2 és 1.0.5 frissítése, amelyben két sebezhetőséget javítottak a 0.104, 0.105, 1.0, 1.1 és 1.2 ágakat érintve:
- CVE-2024-20328 — parancsok behelyettesítése a clamd-ben a fájlok ellenőrzése során a „VirusEvent” utasítás megvalósításának hibája miatt, amely lehetővé tette tetszőleges parancsok futtatását vírus észlelésekor. A sebezhetőség kihasználásának részletei még nem ismertek, csak annyit tudni, hogy a problémát a VirusEvent üzenetformázási paraméterének ‘%f’ támogatásának letiltásával orvosolták, amely helyettesítve lett a fertőzött fájl nevével.
A látszólagos támadás célja, hogy egy különösen formázott fertőzött fájlnevet adjon át, amely speciális karaktereket tartalmaz, amelyeket nem escape-elnek a VirusEvent-ben megadott parancs futtatásakor. Érdekes, hogy hasonló sebezhetőséget már 2004-ben is kijavítottak, szintén a ‘%f’ helyettesítés támogatásának eltávolításával, amit később a ClamAV 0.104 verziójában visszaállítottak, így újra megjelent a régi sebezhetőség. A régi sebezhetőségnél a vírusok ellenőrzése során elég volt egy „; mkdir owned” nevű fájlt létrehozni és beleírni egy teszt vírusszegmentet a parancs végrehajtásához.
- A CVE-2024-20290 — puffer túlcsordulás az OLE2 formátumú fájlok elemző kódjában, amelyet egy távoli, nem hitelesített támadó használhat a szolgáltatásmegtagadásra (a szkennelési folyamat összeomlása). A probléma a sor végének helytelen ellenőrzéséből adódik az ellenőrzött tartalom szkennelése során, ami a puffer határain kívüli terület olvasásához vezet.
Forrás: opennet.ru
