Cisco ha presentato una nuova e significativa versione del pacchetto antivirus open source ClamAV 0.105.0, e ha anche rilasciato aggiornamenti correttivi per ClamAV 0.104.3 e 0.103.6 per risolvere vulnerabilità e bug. Ricordiamo che il progetto è passato a Cisco nel 2013 dopo l'acquisizione di Sourcefire, che sviluppava ClamAV e Snort. Il codice del progetto è distribuito sotto licenza GPLv2.
Miglioramenti chiave in ClamAV 0.105:
- È stato incluso un compilatore per il linguaggio Rust tra le dipendenze obbligatorie per la compilazione. È richiesta almeno la versione Rust 1.56. Le librerie dipendenti in Rust sono incluse nel pacchetto principale di ClamAV.
- Il codice per l'aggiornamento incrementale dell'archivio del database (CDIFF) è stato riscritto in Rust. La nuova implementazione ha permesso di accelerare notevolmente l'applicazione degli aggiornamenti, che rimuovono un gran numero di firme dal database. Questo è il primo modulo riscritto in Rust.
- Sono stati aumentati i valori limite predefiniti:
- MaxScanSize: 100M > 400M
- MaxFileSize: 25M > 100M
- StreamMaxLength: 25M > 100M
- PCREMaxFileSize: 25M > 100M
- MaxEmbeddedPE: 10M > 40M
- MaxHTMLNormalize: 10M > 40M
- MaxScriptNormalize: 5M > 20M
- MaxHTMLNoTags: 2M > 8M
- La dimensione massima della riga nei file di configurazione freshclam.conf e clamd.conf è aumentata da 512 a 1024 caratteri (specificando i token di accesso, il parametro DatabaseMirror poteva superare i 512 byte).
- Per identificare le immagini utilizzate per il phishing o la diffusione di malware, è stata implementata la supporto per un nuovo tipo di firme logiche, che utilizza il metodo di fuzzy hashing, consentendo di rilevare oggetti simili con un certo grado di probabilità. Per generare un fuzzy hash per un'immagine, si può utilizzare il comando "sigtool —fuzzy-img".
- In ClamScan e ClamDScan è stata integrata la funzionalità di scansione della memoria dei processi. Questa funzionalità è stata trasferita dal pacchetto ClamWin ed è specifica per la piattaforma Windows. Sono state aggiunte opzioni "—memory", "—kill" e "—unload" a ClamScan e ClamDScan su Windows.
- Aggiornati i componenti runtime per l'esecuzione del bytecode basati su LLVM. Per aumentare le prestazioni di scansione rispetto all'interprete di bytecode predefinito, è stato proposto un modo di compilazione JIT. È stata interrotta la supporto per le vecchie versioni di LLVM, ora sono supportate versioni di LLVM da 8 a 12.
- In Clamd è stata aggiunta l'impostazione GenerateMetadataJson, equivalente all'opzione "—gen-json" in clamscan e porta alla scrittura di metadati sul progresso della scansione in un file metadata.json in formato JSON.
- È stata fornita la possibilità di compilare utilizzando la libreria esterna TomsFastMath (libtfm), inclusa tramite le opzioni "-D ENABLE_EXTERNAL_TOMSFASTMATH=ON", "-D TomsFastMath_INCLUDE_DIR=" e "-D TomsFastMath_LIBRARY=". La copia della libreria TomsFastMath inclusa nella distribuzione è stata aggiornata alla versione 0.13.1.
- Nell'utility Freshclam è stato migliorato il comportamento nella gestione del timeout ReceiveTimeout, che ora interrompe solo i download bloccati e non interrompe i download lenti attivi su canali di comunicazione scadenti.
- Aggiunta la supporto per la compilazione di ClamdTop utilizzando la libreria ncursesw in assenza di ncurses.
- Vulnerabilità risolte:
- CVE-2022-20803 — doppia liberazione di memoria nel parser di file OLE2.
- CVE-2022-20770 — ciclo infinito nel parser di file CHM.
- CVE-2022-20796 — chiusura anomala a causa di dereferenziazione di un puntatore nullo nel codice di verifica della cache.
- CVE-2022-20771 — ciclo infinito nel parser di file TIFF.
- CVE-2022-20785 — perdita di memoria nel parser HTML e normalizzatore Javascript.
- CVE-2022-20792 — overflow di buffer nel modulo di caricamento del database delle firme.
Fonte: opennet.ru
