A Cisco közzétette a ClamAV 1.4.3 és 1.0.98 szabad antivírus csomag új verzióit, amelyekben javították a biztonsági hibákat, köztük egyet, amely lehetővé teheti a támadó kódjának végrehajtását a speciálisan kialakított tartalom vizsgálatakor.
- CVE-2025-20260 — egy hiba a PDF fájlok elemzésével kapcsolatos kódban, amely a kijelölt puffer területén kívülre történő adatírást eredményezi. A probléma a file-size és scan-size maximális beállításainak 1024 MB és 1025 MB értékére állításakor lép fel. A hiba kihasználása a 1.0.0 kiadás óta lehetséges, és a ClamAV folyamat jogainak használatával kód végrehajtásához vezethet.
- CVE-2025-20234 — egy hiba az UDF fájlok elemzésével kapcsolatos kódban, amely a kijelölt puffer területén kívüli memóriaolvasást okoz. A probléma a folyamat leállásához vagy az adatok időszakos fájlokba történő kiáramlásához vezethet. A hiba a 1.2.0 verziótól kezdve jelentkezik.
- A memória elérése annak felszabadítása után az xz formátumú archívumok kibővítő moduljában (CVE nem azonosítva). A probléma az ClamAV kódjában beépített lzma-sdk könyvtár hibájából ered, amelyet az alap projekt javított a 2018-ban kiadott lzma-sdk 18.03 verzióban anélkül, hogy említést tett volna a hiba javításáról. A hiba a ClamAV minden verziójában megjelenik a 0.99.4 verziótól kezdve.
Forrás: opennet.ru
