Cisco hefur gefið út nýjar útgáfur af ókeypis ClamAV vírusvarnarpakka sínum, 1.4.3 og 1.0.98, sem taka á veikleikum, þar af ein sem gæti leitt til keyrslu kóða árásaraðila við skönnun á sérsmíðuðu efni.
- CVE-2025-20260 — villa í greiningarkóða PDF-skráar sem veldur því að gögn eru skrifuð út fyrir úthlutað biðminni. Vandamálið birtist í stillingum þar sem hámarksstillingar fyrir skráarstærð og skönnunarstærð eru jafnar eða stærri en 1024 MB og 1025 MB, talið í sömu röð. Hægt er að nýta sér veikleikann frá og með útgáfu 1.0.0 og getur leitt til keyrslu kóða með réttindum ClamAV-ferlisins.
- CVE-2025-20234 — Villa í greiningarkóða UDF-skráarinnar leiðir til þess að gögn eru lesin úr minnissvæði utan úthlutaðs biðminni. Vandamálið getur leitt til ferlishruns eða gagnaleka úr minni í tímabundna skrá. Veikleikinn kemur fram frá og með útgáfu 1.2.0.
- Aðgangur eftir ókeypis aðgang í xz skjalasafnsútpakkningunni (CVE ekki úthlutað). Vandamálið stafar af villu í lzma-sdk bókasafninu sem er innbyggt í ClamAV kóðann, sem var lagfærð í aðalverkefninu í lzma-sdk 18.03, sem var gefið út árið 2018 án þess að nefna lagfæringuna. Veikleikinn hefur áhrif á allar útgáfur af ClamAV frá og með 0.99.4.
Heimild: opennet.ru
