Na zes maanden ontwikkeling heeft Cisco de release van het gratis antiviruspakket ClamAV 1.3.0 gepubliceerd. Het project kwam in 2013 in handen van Cisco na de overname van het bedrijf Sourcefire, dat ClamAV en Snort ontwikkelde. De code van het project wordt verspreid onder de GPLv2-licentie. Tak 1.3.0 valt onder de categorie reguliere (geen LTS), waarvan de updates gedurende minstens vier maanden na de eerste release van de volgende tak worden gepubliceerd. De mogelijkheid om de signatuurbasis voor niet-LTS-takken te downloaden, wordt ook ten minste nog vier maanden na de release van de volgende tak aangeboden.
Belangrijkste verbeteringen in ClamAV 1.3:
- Ondersteuning voor het extraheren en controleren van bijlagen die in Microsoft OneNote-bestanden worden gebruikt, is toegevoegd. De parser voor het OneNote-formaat is standaard ingeschakeld, maar kan indien gewenst worden uitgeschakeld met de instelling 'ScanOneNote no' in clamd.conf, door de opdrachtregeloptie 'āscan-onenote=no' op te geven bij het starten van de clamscan-tool of door de vlag CL_SCAN_PARSE_ONENOTE toe te voegen aan de parameter options.parse bij het gebruik van libclamav.
- De bouw van ClamAV in het BeOS-achtige besturingssysteem Haiku is tot stand gebracht.
- In clamd is een controle toegevoegd voor het bestaan van de map voor tijdelijke bestanden, gespecificeerd in het bestand clamd.conf via de directive TemporaryDirectory. Bij afwezigheid van deze map wordt het proces nu beƫindigd met een foutmelding.
- Bij het instellen van de bouw van statische bibliotheken in CMake, is de installatie van de statische bibliotheken libclamav_rust, libclammspack, libclamunrar_iface en libclamunrar, gebruikt in libclamav, gegarandeerd.
- Detectie van het bestandstype voor gecompileerde Python-scripts (.pyc) is geĆÆmplementeerd. Het bestandstype wordt doorgegeven in de vorm van de stringparameter CL_TYPE_PYTHON_COMPILED, die wordt ondersteund in de functies clcb_pre_cache, clcb_pre_scan en clcb_file_inspection.
- De ondersteuning voor het ontsleutelen van PDF-documenten met een leeg wachtwoord is verbeterd.
Tegelijkertijd zijn updates voor ClamAV 1.2.2 en 1.0.5 gevormd, waarin twee kwetsbaarheden zijn verholpen die van invloed zijn op de takken 0.104, 0.105, 1.0, 1.1 en 1.2:
- CVE-2024-20328 ā de mogelijkheid van commando-injectie tijdens het controleren van bestanden in clamd als gevolg van een fout in de implementatie van de directive 'VirusEvent', die wordt gebruikt om een willekeurig commando uit te voeren bij het detecteren van een virus. Details over de exploitatie van de kwetsbaarheid zijn nog niet vrijgegeven; het is alleen bekend dat het probleem is opgelost door de ondersteuning voor de opmaakparameter '%%f' in VirusEvent, die werd vervangen door de naam van het geĆÆnfecteerde bestand, uit te schakelen.
Het lijkt erop dat de aanval betrekking heeft op het verzenden van een speciaal opgemaakt bestandsnaam van een geĆÆnfecteerd bestand, dat speciale symbolen bevat die niet worden geĆ«scaped tijdens het uitvoeren van de opdracht zoals gespecificeerd in VirusEvent. Opmerkelijk is dat een soortgelijke kwetsbaarheid in 2004 al was aangepakt door de ondersteuning van de wildcard ā%fā te verwijderen, die later weer was teruggebracht in de release van ClamAV 0.104, wat leidde tot een heropleving van de oude kwetsbaarheid. Bij de oude kwetsbaarheid was het voldoende om een bestand met de naam Ā«; mkdir ownedĀ» te maken en daarin een testvirus-signatuur op te slaan om de opdracht uit te voeren tijdens de virusscan.
- CVE-2024-20290 ā een buffer overflow in de code voor het parseren van bestanden met inhoud in het OLE2-formaat, die een niet-geauthenticeerde aanvaller op afstand kan gebruiken voor een denial of service (crash van het scanningsproces). Het probleem wordt veroorzaakt door een onjuiste controle van de eindlijn tijdens het scannen van inhoud, wat leidt tot lezen buiten de buffergrenzen.
Bron: opennet.ru
