Dopo sei mesi di sviluppo, Cisco ha pubblicato la versione del pacchetto antivirus gratuito ClamAV 1.3.0. Il progetto è passato a Cisco nel 2013 dopo l'acquisizione di Sourcefire, che sviluppava ClamAV e Snort. Il codice del progetto è distribuito sotto la licenza GPLv2. La branch 1.3.0 è classificata come standard (non LTS), con aggiornamenti resi disponibili per almeno 4 mesi dopo il rilascio del primo aggiornamento della branch successiva. La possibilità di scaricare il database delle firme per le branch non LTS è garantita per almeno altri 4 mesi dopo il rilascio della branch successiva.
Miglioramenti chiave in ClamAV 1.3:
- È stato aggiunto il supporto per l'estrazione e la verifica degli allegati utilizzati nei file Microsoft OneNote. L'analisi del formato OneNote è abilitata per impostazione predefinita, ma può essere disabilitata tramite l'impostazione "ScanOneNote no" in clamd.conf, specificando l'opzione della riga di comando "—scan-onenote=no" al momento dell'esecuzione dello strumento clamscan, o aggiungendo il flag CL_SCAN_PARSE_ONENOTE nel parametro options.parse quando si utilizza libclamav.
- È stata migliorata la compilazione di ClamAV nel sistema operativo simile a BeOS Haiku.
- In clamd è stata aggiunta la verifica dell'esistenza della directory per i file temporanei, specificata in clamd.conf tramite la direttiva TemporaryDirectory. In assenza di tale directory, il processo ora si arresta con output di errore.
- Nella configurazione della compilazione delle librerie statiche in CMake, è stata garantita l'installazione delle librerie statiche libclamav_rust, libclammspack, libclamunrar_iface e libclamunrar, utilizzate in libclamav.
- È stata implementata la determinazione del tipo di file per gli script Python compilati (.pyc). Il tipo di file viene passato come parametro stringa CL_TYPE_PYTHON_COMPILED, supportato nelle funzioni clcb_pre_cache, clcb_pre_scan e clcb_file_inspection.
- È stato migliorato il supporto per la decrittazione di documenti PDF con una password vuota.
Contemporaneamente sono stati rilasciati gli aggiornamenti ClamAV 1.2.2 e 1.0.5, che risolvono due vulnerabilità che interessano le branch 0.104, 0.105, 1.0, 1.1 e 1.2:
- CVE-2024-20328 — possibilità di iniezione di comandi durante la verifica dei file in clamd a causa di un errore nell'implementazione della direttiva "VirusEvent", utilizzata per eseguire un comando arbitrario in caso di rilevamento di un virus. I dettagli sull'exploit della vulnerabilità non sono ancora stati rivelati; si sa solo che il problema è stato risolto disabilitando il supporto nel parametro di formattazione della stringa ' %f ' in VirusEvent, che veniva sostituito con il nome del file infetto.
Sembra che l'attacco consista nella trasmissione di un nome di file infetto appositamente formattato, contenente caratteri speciali non eseguibili durante l'esecuzione del comando indicato in VirusEvent. È notevole che una vulnerabilità simile è stata già risolta nel 2004 e anche rimuovendo il supporto per la sostituzione ‘%f’, che è stata poi reintegrata nella versione ClamAV 0.104, causando il riemergere della vecchia vulnerabilità. Nella vecchia vulnerabilità, per eseguire il proprio comando durante la scansione di virus era sufficiente creare un file con il nome «; mkdir owned» e registrare in esso una firma di test del virus.
- CVE-2024-20290 — overflow del buffer nel codice di analisi dei file con contenuti in formato OLE2, che un attaccante remoto non autenticato può utilizzare per causare un'interruzione del servizio (terminazione anomala del processo di scansione). Il problema è causato da un controllo errato della fine della riga durante la scansione del contenuto, che porta alla lettura da un'area al di fuori del limite del buffer.
Fonte: opennet.ru
