Cisco telah menerbitkan keluaran baharu pakej antivirus percuma ClamAV 1.0.1, 0.105.3 dan 0.103.8, yang menghapuskan kerentanan kritikal (CVE-2023-20032) yang boleh membawa kepada pelaksanaan kod apabila mengimbas fail dengan imej cakera yang direka khas dalam Format ClamAV HFS+.
Kerentanan ini disebabkan oleh kekurangan pemeriksaan yang betul pada saiz penimbal, yang membolehkan anda menulis data anda ke kawasan di luar sempadan penimbal dan mengatur pelaksanaan kod dengan hak proses ClamAV, contohnya, mengimbas fail pada pelayan mel yang diekstrak daripada surat. Penerbitan kemas kini pakej dalam pengedaran boleh dijejaki pada halaman: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD.
Keluaran baharu juga menangani kerentanan lain (CVE-2023-20052) yang boleh membocorkan kandungan daripada mana-mana fail pada pelayan yang diakses oleh proses yang menjalankan imbasan. Kerentanan berlaku apabila menghuraikan fail yang direka khas dalam format DMG dan disebabkan oleh fakta bahawa penghurai, semasa proses penghuraian, membenarkan penggantian elemen XML luaran yang dirujuk dalam fail DMG yang dihuraikan.
Sumber: opennet.ru