La società Cisco ha presentato una nuova e significativa versione del pacchetto antivirus open source ClamAV 0.105.0, e ha anche pubblicato aggiornamenti correttivi per ClamAV 0.104.3 e 0.103.6 che risolvono vulnerabilità e errori. Ricordiamo che il progetto è passato sotto il controllo di Cisco nel 2013 dopo l'acquisto della società Sourcefire, che sviluppava ClamAV e Snort. Il codice del progetto è distribuito con licenza GPLv2.
Principali miglioramenti in ClamAV 0.105:
- Incluso il compilatore per il linguaggio Rust tra le dipendenze necessarie per la compilazione. È richiesta almeno la versione Rust 1.56. Le librerie necessarie scritte in Rust sono incluse nel pacchetto principale di ClamAV.
- Riscritto in linguaggio Rust il codice per l'aggiornamento incrementale dell'archivio DB (CDIFF). La nuova implementazione ha permesso di accelerare notevolmente l'applicazione degli aggiornamenti, che rimuovono un gran numero di firme dalla base. Questo è il primo modulo riscritto in Rust.
- Sono aumentati i valori limite predefiniti:
- MaxScanSize: 100M > 400M
- MaxFileSize: 25M > 100M
- StreamMaxLength: 25M > 100M
- PCREMaxFileSize: 25M > 100M
- MaxEmbeddedPE: 10M > 40M
- MaxHTMLNormalize: 10M > 40M
- MaxScriptNormalize: 5M > 20M
- MaxHTMLNoTags: 2M > 8M
- La dimensione massima della stringa nei file di configurazione freshclam.conf e clamd.conf è aumentata da 512 a 1024 caratteri (se si specificano i token di accesso, il parametro DatabaseMirror potrebbe superare i 512 byte).
- Per identificare immagini utilizzate per il phishing o per la distribuzione di malware, è stata implementata la supporto per un nuovo tipo di firme logiche, in cui si utilizza il metodo di hashing sfocato (fuzzy hashing), che consente di rilevare oggetti simili con un certo grado di probabilità. Per generare un hash sfocato per un'immagine, si può utilizzare il comando "sigtool —fuzzy-img".
- In ClamScan e ClamDScan è stata integrata la possibilità di scansionare la memoria dei processi. Questa capacità è stata trasferita dal pacchetto ClamWin ed è specifica per la piattaforma Windows. In ClamScan e ClamDScan sulla piattaforma Windows sono state aggiunte le opzioni "—memory", "—kill" e "—unload".
- Aggiornati i componenti runtime per l'esecuzione di bytecode, basati su LLVM. Per aumentare le prestazioni della scansione rispetto all'interprete di bytecode fornito di default, è stato proposto una modalità di compilazione JIT. È stata interrotta la supporto per le versioni precedenti di LLVM; ora si possono utilizzare le versioni di LLVM dalla 8 alla 12.
- In Clamd è stata aggiunta l'opzione GenerateMetadataJson, equivalente all'opzione «—gen-json» in clamscan, che genera un file metadata.json contenente i metadati sullo stato della scansione in formato JSON.
- È stata fornita la possibilità di compilazione utilizzando la libreria esterna TomsFastMath (libtfm), inclusa tramite le opzioni «-D ENABLE_EXTERNAL_TOMSFASTMATH=ON», «-D TomsFastMath_INCLUDE_DIR=» e «-D TomsFastMath_LIBRARY=». La copia di TomsFastMath inclusa nella fornitura è stata aggiornata alla versione 0.13.1.
- Nell'utilità Freshclam è stato migliorato il comportamento nella gestione del timeout ReceiveTimeout, che ora interrompe solo i download bloccati e non interrompe i download attivi lenti con trasferimenti di dati su canali di comunicazione di scarsa qualità.
- È stata aggiunta la supporto per la compilazione di ClamdTop utilizzando la libreria ncursesw in assenza di ncurses.
- Sono state risolte le vulnerabilità:
- CVE-2022-20803 - doppia liberazione della memoria nel parser dei file OLE2.
- CVE-2022-20770 - ciclo infinito nel parser dei file CHM.
- CVE-2022-20796 - chiusura anomala a causa dereferenziazione di un puntatore nullo nel codice di verifica della cache.
- CVE-2022-20771 - ciclo infinito nel parser dei file TIFF.
- CVE-2022-20785 - perdita di memoria nel parser HTML e nel normalizzatore Javascript.
- CVE-2022-20792 - overflow del buffer nel modulo di caricamento del database delle firme.
Fonte: opennet.ru
