ב-7 באוגוסט פורסמו גרסאות טלאים של חבילת האנטי-וירוס החינמית ClamAV 1.5.4 ו-1.4.6הגרסאות החדשות מתמקדות באבטחה: שמונה CVEs נסגרו בענף 1.5 הנוכחי, שישה מהם תוקנו גם בענף 1.4 הנתמך. בנוסף, תוקנה פגיעות clamd שעלולה להוביל לחשיפת זיכרון התהליך.
В Clam AV 1.5.4 הפגיעויות הבאות תוקנו:
- CVE-2026-20337 — שגיאה בחשבונאות גודל ספריית ZIP עלולה להוביל לכתיבה מחוץ לגבולות ערימה בעת אינדוקס של כותרות קבצים מקומיות. גרסאות 1.5.0–1.5.3 של ClamAV פגיעות.
- CVE-2026-20338 — שגיאת ניהול זיכרון בעת מיזוג ערכי ספריית ZIP עלולה להוביל לשחרור זיכרון שגוי בעת עיבוד ארכיון בעל מבנה מיוחד. זה השפיע רק על ענף 1.5.
- CVE-2026-20345 — שגיאת אינדוקס בעת המרת שמות מחיצות GPT אפשרה קריאה או כתיבה של נתונים מחוץ למבנה מבוסס-המחיצה. בעיה זו קיימת מאז ClamAV 0.98.2.
- CVE-2026-20339 גלישה שלמה במפרק PESpin עלולה להוביל להקצאה של מאגר קטן בגודלו, ולאחר מכן כתיבה מחוץ לתחום בעת שחזור קובץ PE. הפגיעות קיימת מאז ClamAV 0.90.
- CVE-2026-20346 - זרימת נתונים חסרת מספרים במנתח ה-PDF עלולה לגרום לקריסת תהליך בעת קריאת מחרוזת הקסדצימלית לא חוקית.
- CVE-2026-20347 — פגיעות של גלישת מספר שלם והתנהגות לא מוגדרת במנתח Mach-O עלולות לגרום לקריסת הסורק בעת סריקת קובץ בעל מבנה מיוחד.
- CVE-2026-20348 — שגיאות בדיקת גודל במנתח ה-XAR עלולות לגרום להקצאת יתר של זיכרון או לחרוג ממגבלות הסריקה בעת פירוק תוכן עניינים פגום.
- CVE-2025-8088 — תיקון הגרסה הקודמת הועבר לספריית UnRAR המסופקת עם ClamAV. Windows מפרידי נתיבים בתוך שמות זרמים חלופיים של NTFS עלולים לאפשר חילוץ נתונים מעבר לספרייה הזמנית של ClamAV.
В Clam AV 1.4.6 שש מהפגיעויות המפורטות תוקנו: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 и CVE-2025-8088שתי בעיות עם מטפל ה-ZIP - CVE-2026-20337 и CVE-2026-20338 — מתייחסים לקוד הסניף 1.5 ולכן אינם רלוונטיים עבור 1.4.
בנפרד, המפתחים תיקנו בעיה ארוכת שנים עם בטיחות השרשור של הפקודה. סטטיסטיקות clamdבעת סריקה ושאילתה של סטטיסטיקות בו זמנית, מצב מרוץ עלול להוביל לחשיפת נתונים מזיכרון התהליך או לקריסת daemon. באג זה קיים ב-ClamAV מאז גרסה 0.95. הטיפול בכתיבות חלקיות לשקע בעת שליחת תגובות STATS גדולות תוקן גם כן. התיקון כלול בשתי הגרסאות החדשות.
פעולות בטוחות להעברת קבצים להסגר ומחיקתם נתמכות כעת שוב עבור FreeBSD. גרסה 1.5.4 גם מתקנת דליפת הקשר של OpenSSL בעת שימוש בפונקציות hashing מדור קודם בתצורות מסוימות, במיוחד כאשר ספק ברירת המחדל אינו זמין בסביבת FIPS. התלות של Rust ב-crossbeam-epoch עודכנה בשני הענפים כדי לפתור אזהרה. RUSTSEC-2026-0204.
ClamAV היא חבילת אנטי-וירוס חינמית, חוצת פלטפורמות וספריית זיהוי תוכנות זדוניות, הנמצאת בשימוש נרחב ב... Linux- ושרתי דואר. הפרויקט מופץ תחת רישיון GNU GPLv2.
מקור: linux.org.ru
