Il 7 agosto sono stati pubblicati aggiornamenti correttivi del pacchetto antivirus gratuito ClamAV 1.5.4 e 1.4.6. Le nuove versioni si concentrano sulla sicurezza: nella versione attuale 1.5 sono state risolte otto vulnerabilità CVE, sei delle quali sono state corrette anche nella versione supportata 1.4. Inoltre, è stato risolto un problema in clamd che poteva portare a una divulgazione del contenuto della memoria del processo.
In ClamAV 1.5.4 sono state corrette le seguenti vulnerabilità:
- CVE-2026-20337 — un errore nel conteggio delle dimensioni della directory ZIP poteva portare a una scrittura oltre il buffer allocato in heap durante l'indicizzazione degli header locali dei file. Le versioni vulnerabili di ClamAV sono 1.5.0–1.5.3.
- CVE-2026-20338 — un errore nella gestione della memoria durante la fusione delle voci della directory ZIP poteva portare a un rilascio incorretto della memoria quando si elaborava un archivio appositamente formattato. Ha colpito solo la versione 1.5.
- CVE-2026-20345 — un errore di indicizzazione nella conversione dei nomi delle partizioni GPT consentiva di leggere o scrivere dati al di fuori della struttura della partizione, posizionata nello stack. Il problema era presente a partire da ClamAV 0.98.2.
- CVE-2026-20339 — un overflow intero nel decompressore PESpin poteva portare all'allocazione di un buffer troppo piccolo con conseguente scrittura oltre il suo limite durante il ripristino di un file PE. La vulnerabilità esisteva a partire da ClamAV 0.90.
- CVE-2026-20346 — un overflow intero verso il basso nell'analizzatore PDF poteva causare il crash del processo durante la lettura di una stringa esadecimale non valida.
- CVE-2026-20347 — overflow interi e comportamento indefinito nell'analizzatore Mach-O potevano provocare il crash dello scanner durante la verifica di un file appositamente creato.
- CVE-2026-20348 — errori nel controllo delle dimensioni nell'analizzatore XAR permettevano di provocare un'eccessiva allocazione di memoria o di superare i limiti stabiliti per la scansione nel decomprimere una tabella dei contenuti danneggiata.
- CVE-2025-8088 — è stata trasferita nella libreria UnRAR fornita con ClamAV una correzione upstream. Su Windows, i separatori di percorso all'interno dei nomi dei flussi alternativi NTFS potevano permettere l'estrazione di dati al di fuori della directory temporanea di ClamAV.
In ClamAV 1.4.6 sono state corrette sei delle vulnerabilità elencate: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 e CVE-2025-8088. Due problemi nel gestore ZIP — CVE-2026-20337 e CVE-2026-20338 — riguardano il codice della versione 1.5 e quindi non sono rilevanti per 1.4.
Inoltre, gli sviluppatori hanno risolto un problema di sicurezza storica del comando clamd STATISTICHE. Durante l'esecuzione simultanea della scansione e delle richieste di statistiche, la competizione poteva portare alla divulgazione di dati dalla memoria del processo o al crash del demone. L'errore era presente in ClamAV a partire dalla versione 0.95. È stata anche corretta la gestione della scrittura parziale nel socket durante l'invio di grandi risposte STATS. La correzione è stata inclusa in entrambe le nuove versioni.
Per FreeBSD le operazioni di spostamento in quarantena e di eliminazione dei file ora funzionano in modo sicuro. Nella versione 1.5.4 è stata inoltre risolta una perdita di contesto OpenSSL durante l'uso di funzioni di hash obsolete in alcune configurazioni, in particolare in assenza del fornitore standard in un ambiente FIPS. In entrambe le branche è stata aggiornata la dipendenza Rust crossbeam-epoch per risolvere un avviso. RUSTSEC-2026-0204.
ClamAV è un pacchetto antivirus gratuito e multipiattaforma, insieme a una serie di librerie per la rilevazione di malware, ampiamente utilizzato su server Linux e di posta elettronica. Il progetto è distribuito sotto licenza GNU GPLv2.
Fonte: linux.org.ru
