Dopo sei mesi di sviluppo, Cisco ha pubblicato la versione 1.3.0 della suite antivirus gratuita ClamAV. Il progetto è passato a Cisco nel 2013 dopo l'acquisizione di Sourcefire, che sviluppava ClamAV e Snort. Il codice del progetto è distribuito sotto la licenza GPLv2. Il ramo 1.3.0 è classificato come normale (non LTS), con aggiornamenti pubblicati per almeno 4 mesi dall'uscita della prima versione del ramo successivo. La possibilità di scaricare il database delle firme per i rami non LTS è garantita per almeno altri 4 mesi dopo il rilascio della successiva versione.
Principali miglioramenti in ClamAV 1.3:
- Aggiunta la supporto per l'estrazione e la verifica degli allegati utilizzati nei file Microsoft OneNote. L'analisi del formato OneNote è abilitata per impostazione predefinita, ma può essere disattivata tramite l'impostazione «ScanOneNote no» in clamd.conf, specificando l'opzione della riga di comando «—scan-onenote=no» durante l'avvio dello strumento clamscan, oppure aggiungendo il flag CL_SCAN_PARSE_ONENOTE al parametro options.parse durante l'uso di libclamav.
- Configurata la build di ClamAV nel sistema operativo simile a BeOS Haiku.
- Nel clamd è stata aggiunta una verifica dell'esistenza della directory per i file temporanei, specificata nel file clamd.conf tramite la direttiva TemporaryDirectory. In assenza di questa directory, il processo ora termina con un messaggio di errore.
- Durante la configurazione della costruzione delle librerie statiche in CMake, è stata garantita l'installazione delle librerie statiche libclamav_rust, libclammspack, libclamunrar_iface e libclamunrar, utilizzate in libclamav.
- È stata implementata la distinzione del tipo di file per gli script Python compilati (.pyc). Il tipo di file viene passato sotto forma di parametro stringa CL_TYPE_PYTHON_COMPILED, supportato nelle funzioni clcb_pre_cache, clcb_pre_scan e clcb_file_inspection.
- Migliorato il supporto per la decrittazione di documenti PDF privi di password.
Sono stati contemporaneamente creati aggiornamenti ClamAV 1.2.2 e 1.0.5, nei quali sono state risolte due vulnerabilità che interessano le branche 0.104, 0.105, 1.0, 1.1 e 1.2:
- CVE-2024-20328 — vulnerabilità che consente l'inserimento di comandi durante il controllo dei file in clamd a causa di un errore nell'implementazione della direttiva "VirusEvent", utilizzata per eseguire comandi arbitrari in caso di rilevamento di un virus. I dettagli sull'exploitation della vulnerabilità non sono ancora stati divulgati; si sa solo che il problema è stato risolto disabilitando il supporto per il parametro di formattazione della stringa ‘%f’ in VirusEvent, che veniva sostituito con il nome del file infetto.
Sembra che l'attacco consista nell'inviare un nome di file infetto appositamente formattato, contenente caratteri speciali non esaminati durante l'esecuzione del comando specificato in VirusEvent. È interessante notare che una vulnerabilità simile era già stata corretta nel 2004, anche allora rimuovendo il supporto per l'inserimento di ‘%f’, che è stato poi ripristinato nella release di ClamAV 0.104, portando al riemergere della vecchia vulnerabilità. Nella vecchia vulnerabilità, per eseguire il proprio comando durante il controllo dei virus, era sufficiente creare un file con il nome “; mkdir owned” e scrivere in esso una firma di test del virus.
- CVE-2024-20290 — overflow del buffer nel codice di analisi dei file con contenuti in formato OLE2, che può essere sfruttato da un attaccante remoto non autenticato per un attacco di denial of service (terminazione anomala del processo di scansione). Il problema è causato da un controllo errato della fine della riga durante la scansione del contenuto, che porta alla lettura al di fuori dei limiti del buffer.
Fonte: opennet.ru
