A empresa Cisco apresentou um novo lançamento significativo do pacote antivírus gratuito ClamAV 0.105.0 e também publicou lançamentos de correção do ClamAV 0.104.3 e 0.103.6, corrigindo vulnerabilidades e erros. Lembramos que o projeto passou para as mãos da Cisco em 2013, após a compra da empresa Sourcefire, que desenvolveu o ClamAV e o Snort. O código do projeto é distribuído sob a licença GPLv2.
Principais melhorias no ClamAV 0.105:
- O compilador da linguagem Rust foi incluído entre as dependências obrigatórias para compilação. É necessário ter pelo menos a versão 1.56 do Rust. As bibliotecas de dependências em Rust estão incluídas no pacote principal do ClamAV.
- O código para a atualização incremental do banco de dados (CDIFF) foi reescrito em Rust. A nova implementação permitiu acelerar significativamente a aplicação de atualizações que removem um grande número de assinaturas do banco de dados. Este é o primeiro módulo reescrito em Rust.
- Os valores de limites padrão foram aumentados:
- MaxScanSize: 100M > 400M
- MaxFileSize: 25M > 100M
- StreamMaxLength: 25M > 100M
- PCREMaxFileSize: 25M > 100M
- MaxEmbeddedPE: 10M > 40M
- MaxHTMLNormalize: 10M > 40M
- MaxScriptNormalize: 5M > 20M
- MaxHTMLNoTags: 2M > 8M
- O tamanho máximo da linha nos arquivos de configuração freshclam.conf e clamd.conf foi aumentado de 512 para 1024 caracteres (ao especificar tokens de acesso, o parâmetro DatabaseMirror poderia exceder 512 bytes).
- Para identificar imagens usadas para phishing ou na distribuição de malware, foi implementado suporte a um novo tipo de assinatura lógica, que utiliza o método de hashing difuso (fuzzy hashing), permitindo a identificação de objetos semelhantes com um determinado grau de probabilidade. Para gerar o hash difuso para uma imagem, pode-se usar o comando "sigtool —fuzzy-img".
- O ClamScan e ClamDScan agora possuem a capacidade de escanear a memória dos processos. Essa funcionalidade foi transferida do pacote ClamWin e é específica para a plataforma Windows. No ClamScan e ClamDScan na plataforma Windows, foram adicionadas as opções "—memory", "—kill" e "—unload".
- Os componentes de runtime para execução de bytecode, baseados em LLVM, foram atualizados. Para aumentar o desempenho de escaneamento em comparação com o interpretador de bytecode fornecido por padrão, foi proposta uma modalidade de compilação JIT. O suporte para versões antigas do LLVM foi interrompido, e agora podem ser utilizadas versões do LLVM de 8 a 12.
- No Clamd foi adicionada a configuração GenerateMetadataJson, equivalente à opção "--gen-json" no clamscan, gerando a gravação em um arquivo metadata.json dos metadados do progresso da verificação no formato JSON.
- Foi fornecida a capacidade de compilar usando a biblioteca externa TomsFastMath (libtfm), ativável com as opções "-D ENABLE_EXTERNAL_TOMSFASTMATH=ON", "-D TomsFastMath_INCLUDE_DIR=" e "-D TomsFastMath_LIBRARY=". A cópia da biblioteca TomsFastMath incluída foi atualizada para a versão 0.13.1.
- Na ferramenta Freshclam, melhorou-se o comportamento ao processar o timeout ReceiveTimeout, que agora interrompe apenas downloads pendentes e não interrompe downloads ativos lentos que estão transmitindo dados por canais de comunicação de baixa qualidade.
- Adicionada a suporte para compilação do ClamdTop usando a biblioteca ncursesw na ausência de ncurses.
- Vulnerabilidades corrigidas:
- CVE-2022-20803 — liberação dupla de memória no parser de arquivos OLE2.
- CVE-2022-20770 — looping infinito no parser de arquivos CHM.
- CVE-2022-20796 — falha por desreferência de ponteiro nulo no código de verificação de cache.
- CVE-2022-20771 — looping infinito no parser de arquivos TIFF.
- CVE-2022-20785 — vazamento de memória no parser HTML e normalizador Javascript.
- CVE-2022-20792 — estouro de buffer no módulo de carga da base de assinaturas.
Fonte: opennet.ru
