L'azienda Cisco ha presentato una nuova versione significativa del pacchetto antivirus free ClamAV 0.104.0. Ricordiamo che il progetto è passato sotto il controllo di Cisco nel 2013 dopo l'acquisizione dell'azienda Sourcefire, che sviluppa ClamAV e Snort. Il codice del progetto è distribuito con licenza GPLv2.
Contemporaneamente, Cisco ha annunciato l'inizio della creazione di rami ClamAV con supporto a lungo termine (LTS), per i quali il supporto sarà fornito per tre anni dalla pubblicazione della prima versione del ramo. Il primo ramo LTS sarà ClamAV 0.103, con aggiornamenti per la risoluzione di vulnerabilità e problemi critici che saranno rilasciati fino al 2023.
Gli aggiornamenti per i rami normali, non classificati come LTS, saranno pubblicati per almeno ulteriori 4 mesi dopo l'uscita della prima release del ramo successivo (ad esempio, gli aggiornamenti per il ramo ClamAV 0.104.x saranno pubblicati per altri 4 mesi dopo il rilascio di ClamAV 0.105.0). La possibilità di scaricare il database delle firme per i rami non LTS sarà garantita per almeno ulteriori 4 mesi dopo l'uscita del ramo successivo.
Un'altra modifica significativa è stata la creazione di pacchetti di installazione ufficiali, che consentono di eseguire aggiornamenti senza dover ricompilare dai sorgenti e senza aspettare la disponibilità dei pacchetti nelle distribuzioni. I pacchetti sono stati preparati per Linux (in formati RPM e DEB per architetture x86_64 e i686), macOS (per x86_64 e ARM64, compresa la supporto per il chip Apple M1) e Windows (x64 e win32). Inoltre, è iniziata la pubblicazione di immagini ufficiali di contenitori su Docker Hub (offerte immagini sia con database di firme integrato che senza). In futuro è prevista la pubblicazione di pacchetti RPM e DEB per l'architettura ARM64 e la distribuzione di compilazioni per FreeBSD (x86_64).
Miglioramenti chiave in ClamAV 0.104:
- Passaggio all'utilizzo del sistema di build CMake, il cui utilizzo è ora obbligatorio per la compilazione di ClamAV. Il supporto per i sistemi di build Autotools e Visual Studio è stato interrotto.
- Rimosse le componenti LLVM integrate nella fornitura a favore dell'uso di librerie esterne LLVM già esistenti. Nel runtime, per l'elaborazione delle firme con bytecode incorporato, viene utilizzato di default un interprete di bytecode, che non supporta il JIT. Se è necessario utilizzare LLVM invece dell'interprete di bytecode durante la compilazione, è richiesta un'indicazione esplicita dei percorsi alle librerie LLVM 3.6.2 (il supporto per versioni più recenti è previsto in seguito).
- I processi clamd e freshclam sono ora disponibili anche come servizi Windows. Per installare questi servizi è prevista l'opzione "—install-service", mentre per avviarli si può utilizzare il comando standard "net start [name]".
- Aggiunta una nuova opzione di scansione che avverte sulla trasmissione di file grafici danneggiati, attraverso i quali potrebbero tentare di sfruttare vulnerabilità nelle librerie grafiche. La verifica della correttezza del formato è implementata per i file JPEG, TIFF, PNG e GIF, e può essere attivata tramite l'impostazione AlertBrokenMedia in clamd.conf o l'opzione da riga di comando "—alert-broken-media" in clamscan.
- Aggiunti nuovi tipi CL_TYPE_TIFF e CL_TYPE_JPEG per uniformità con la definizione dei file nei formati GIF e PNG. I tipi BMP e JPEG 2000 continuano a essere definiti come CL_TYPE_GRAPHICS, poiché per essi non è supportato l'analisi del formato.
- In ClamScan è stato aggiunto un indicatore visivo del progresso del caricamento delle firme e della compilazione del motore, effettuati prima dell'inizio della scansione. L'indicatore non viene visualizzato quando non si avvia da terminale o specificando una delle opzioni "—debug", "—quiet", "—infected", "—no-summary".
- In libclamav sono stati aggiunti callback per visualizzare il progresso: cl_engine_set_clcb_sigload_progress(), cl_engine_set_clcb_engine_compile_progress() e engine free: cl_engine_set_clcb_engine_free_progress(), tramite i quali le applicazioni possono monitorare e valutare il tempo di esecuzione delle fasi preliminari di caricamento e compilazione delle firme.
- Nell'opzione VirusEvent è stata aggiunta la supporto per la maschera di formattazione della stringa "%f" per sostituire il percorso del file in cui è stato rilevato il virus (analogamente alla maschera "%v" contenente il nome del virus rilevato). In VirusEvent è disponibile una funzionalità simile anche tramite le variabili d'ambiente $CLAM_VIRUSEVENT_FILENAME e $CLAM_VIRUSEVENT_VIRUSNAME.
- Migliorato il funzionamento del modulo di estrazione degli script AutoIt.
- Aggiunto il supporto per l'estrazione di immagini da file *.xls (Excel OLE2).
- È stata garantita la possibilità di caricare gli hash Authenticode basati sull'algoritmo SHA256 in forma di file *.cat (utilizzati per la verifica dei file eseguibili di Windows, certificati con una firma digitale).
Fonte: opennet.ru
