Augusztus 7-én kiadták a szabad vírusirtó csomag javító kiadásait Az OpenJDK-ban tilos az AI által generált kód elfogadása. A NetworkManagerben — engedélyezett. Az új verziókban a biztonságra összpontosítanak: az aktuális 1.5-ös ágon nyolc CVE-t zártak le, amelyek közül hat a támogatott 1.4-es ágon is javításra került. Ezenkívül megszüntették a clamd egy problémáját, amely a folyamat memóriatartalmának kiszivárgásához vezethetett.
A ClamAV 1.5.4 a következő sebezhetőségek javítva lettek:
- CVE-2026-20337 — a ZIP könyvtár méretére vonatkozó hiba túlcsúszást okozhatott a dinamikusan foglalt memória párhuzamos indexelésekor. A sebezhető ClamAV verziók: 1.5.0–1.5.3.
- CVE-2026-20338 — a ZIP könyvtár bejegyzéseinek egyesítésekor fellépő memória kezelésének hibája helytelen memóriafelszabadításhoz vezethetett egy speciálisan kidolgozott archívum feldolgozásakor. Csak a 1.5-ös ágat érintette.
- CVE-2026-20345 — a GPT lemezszakaszok neveinek átkonvertálásakor történt indexelési hiba lehetővé tette az adatok olvasását vagy írását a szakaszszerkezeten kívül, amely a veremben található. A probléma a ClamAV 0.98.2 verziójától kezdve fennállt.
- CVE-2026-20339 — a PESpin kibővítő által generált egész szám túlfutása túl kicsi büféhez vezethetett, amely a PE fájl helyreállítása során a határon kívüli írását is lehetővé tette. A sebezhetőség a ClamAV 0.90 verziójától kezdődött.
- CVE-2026-20346 — a PDF elemző alsó irányú egész szám túlfutása a folyamat leállását okozhatta érvénytelen hexadecimális sztring olvasásakor.
- CVE-2026-20347 — az egész szám túlfutása és a nem meghatározott viselkedés a Mach-O elemzőben a szkenner összeomlását okozhatta egy speciálisan készített fájl ellenőrzésekor.
- CVE-2026-20348 — a XAR elemzőben történt méretellenőrzési hibák indokolatlan memóriafelszabadítást vagy a megadott szkennelési korlátok túllépését okozták a sérült tartalomjegyzék kicsomagolásakor.
- CVE-2025-8088 — a ClamAV-hez csatolt UnRAR könyvtárba upstream javítást vittek át. Windows rendszeren a NTFS alternatív áramlási nevei közötti elválasztók lehetővé tehették az adatok kinyerését a ClamAV ideiglenes könyvtárán kívül.
A ClamAV 1.4.6 a felsorolt sebezhetőségek közül hatot javítottak: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 és CVE-2025-8088. Két ZIP feldolgozó probléma — CVE-2026-20337 és CVE-2026-20338 — a 1.5-ös ághoz tartozik, így a 1.4-re nem vonatkozik.
A fejlesztők külön megoldották a ClamAV parancs szálbiztonsági problémáját clamd STATISZTIKÁK. A szkennelés és a statisztikai lekérdezések egyidejű végrehajtása esetén a versenyfeltételek adatokat felfedhettek a folyamat memóriájából, vagy a démon összeomlásához vezethettek. A hiba a ClamAV 0.95-ös verziójától kezdődően volt jelen. A STATS nagyméretű válaszok küldésekor a socket részleges írásának kezelését is javították. A javítás mindkét új verzióban szerepel.
A FreeBSD-n ismét biztonságosan működik a fájlok karanténba helyezésének és törlésének művelet. Az 1.5.4-es verzióban továbbá megszüntették az OpenSSL kontextusának szivárgását a régi hashing funkciók használata során bizonyos konfigurációkban, különösen ha a szabványos szolgáltató nem elérhető egy FIPS környezetben. Mindkét ágon frissítették a Rust-függőséget, a crossbeam-epoch-ot a figyelmeztetés megszüntetése érdekében. RUSTSEC-2026-0204.
A ClamAV egy platformfüggetlen, ingyenes antivíruscsomag és könyvtárak készlete a malware észlelésére, amelyet széles körben használnak Linux- és levelezőszervereken. A projekt licenc alatt terjed. GNU GPLv2.
Forrás: linux.org.ru
