Cisco ha presentato una nuova e significativa versione del pacchetto antivirus open source ClamAV 0.104.0. Ricordiamo che il progetto è passato nelle mani di Cisco nel 2013 dopo l’acquisizione di Sourcefire, sviluppatore di ClamAV e Snort. Il codice del progetto è distribuito sotto licenza GPLv2.
Allo stesso tempo, Cisco ha annunciato l'inizio della creazione di rami ClamAV con supporto a lungo termine (LTS), che saranno mantenuti per tre anni dalla data di pubblicazione della prima versione del ramo. Il primo ramo LTS sarà ClamAV 0.103, per il quale saranno rilasciati aggiornamenti per la sicurezza e risoluzione di problemi critici fino al 2023.
Gli aggiornamenti per i rami normali, non classificati come LTS, saranno pubblicati per almeno altri 4 mesi dopo il rilascio della prima versione del ramo successivo (ad esempio, gli aggiornamenti per il ramo ClamAV 0.104.x saranno pubblicati per altri 4 mesi dopo il rilascio di ClamAV 0.105.0). Sarà garantita la possibilità di scaricare il database delle firme per i rami non LTS per almeno altri 4 mesi dopo il rilascio del ramo successivo.
Un'altra modifica significativa è stata la creazione di pacchetti di installazione ufficiali, che consentono l'aggiornamento senza ricompilare dai sorgenti e senza dover aspettare che i pacchetti siano disponibili nelle distribuzioni. I pacchetti sono preparati per Linux (nei formati RPM e DEB per le architetture x86_64 e i686), macOS (per x86_64 e ARM64, inclusa la compatibilità con il chip Apple M1) e Windows (x64 e win32). Inoltre, è iniziata la pubblicazione delle immagini ufficiali dei container su Docker Hub (sono offerte immagini sia con una base di firme incorporata che senza). In futuro è prevista la pubblicazione di pacchetti RPM e DEB per l'architettura ARM64 e la distribuzione di build per FreeBSD (x86_64).
Miglioramenti chiave in ClamAV 0.104:
- Transizione all'uso del sistema di build CMake, la cui presenza è ora obbligatoria per la compilazione di ClamAV. Il supporto per i sistemi di build Autotools e Visual Studio è terminato.
- Sono stati rimossi i componenti LLVM integrati nella fornitura a favore dell'uso di librerie LLVM esterne già disponibili. Di default, nel runtime viene utilizzato un interprete del bytecode per elaborare le firme con bytecode incorporato, che non supporta JIT. Se si desidera utilizzare LLVM invece dell'interprete del bytecode, è necessario specificare esplicitamente i percorsi delle librerie LLVM 3.6.2 (il supporto per versioni più recenti è previsto per un secondo momento).
- I processi clamd e freshclam sono ora disponibili anche come servizi Windows. Per installare questi servizi è prevista l'opzione "—install-service", mentre per avviarli è possibile utilizzare il comando standard "net start [name]".
- È stata aggiunta una nuova opzione di scansione che avvisa sulla trasmissione di file grafici danneggiati, attraverso cui potrebbero tentare di sfruttare vulnerabilità nelle librerie grafiche. Il controllo di correttezza del formato è implementato per i file JPEG, TIFF, PNG e GIF, e può essere attivato tramite l'impostazione AlertBrokenMedia in clamd.conf o l'opzione da linea di comando "—alert-broken-media" in clamscan.
- Sono stati aggiunti nuovi tipi CL_TYPE_TIFF e CL_TYPE_JPEG per uniformità con la definizione dei file nei formati GIF e PNG. I tipi BMP e JPEG 2000 continuano a essere definiti come CL_TYPE_GRAPHICS, poiché non supportano l'analisi del formato.
- In ClamScan è stato aggiunto un indicatore di avanzamento chiaro per il caricamento delle firme e la compilazione del motore, eseguito prima dell'inizio della scansione. L'indicatore non viene visualizzato quando viene eseguito al di fuori del terminale o quando è attivata una delle opzioni «—debug», «—quiet», «—infected», «—no-summary».
- In libclamav sono stati aggiunti callback cl_engine_set_clcb_sigload_progress(), cl_engine_set_clcb_engine_compile_progress() e engine free: cl_engine_set_clcb_engine_free_progress() per mostrare il progresso, tramite i quali le applicazioni possono tenere traccia e valutare il tempo di esecuzione delle fasi preliminari di caricamento e compilazione delle firme.
- Nell'opzione VirusEvent è stata aggiunta la supporto per la maschera di formattazione della stringa «%f» per sostituire il percorso del file in cui è stato rilevato un virus (in analogia con la maschera «%v» per il nome del virus rilevato). In VirusEvent, funzionalità simile è disponibile anche attraverso le variabili ambiente $CLAM_VIRUSEVENT_FILENAME e $CLAM_VIRUSEVENT_VIRUSNAME.
- Migliorato il funzionamento del modulo di estrazione degli script AutoIt.
- Aggiunta la supporto per l'estrazione di immagini da file *.xls (Excel OLE2).
- È stata fornita la possibilità di caricare hash Authenticode basati sull'algoritmo SHA256 sotto forma di file *.cat (utilizzati per la verifica dei file eseguibili Windows firmati digitalmente).
Fonte: opennet.ru
