Em 7 de agosto, foram publicadas atualizações corretivas para o pacote antivírus gratuito ClamAV 1.5.4 e 1.4.6. O foco nas novas versões foi a segurança: na versão atual 1.5, oito CVEs foram corrigidos, sendo que seis deles também foram resolvidos na versão suportada 1.4. Além disso, um problema no clamd que poderia levar à exposição do conteúdo da memória do processo foi resolvido.
Em ClamAV 1.5.4 foram corrigidas as seguintes vulnerabilidades:
- CVE-2026-20337 — um erro no cálculo do tamanho do diretório ZIP poderia levar a gravações além do buffer reservado na memória ao indexar cabeçalhos locais de arquivos. As versões vulneráveis do ClamAV são 1.5.0–1.5.3.
- CVE-2026-20338 — um erro de gerenciamento de memória ao combinar entradas de diretório ZIP poderia causar a liberação incorreta de memória ao processar um arquivo criado especificamente. Isso afetava apenas a versão 1.5.
- CVE-2026-20345 — um erro de indexação ao converter nomes de partições GPT permitia ler ou gravar dados além da estrutura da partição, alocada na pilha. O problema estava presente desde o ClamAV 0.98.2.
- CVE-2026-20339 — um estouro de inteiro no descompactador PESpin poderia resultar na alocação de um buffer muito pequeno, seguida pela gravação além de seus limites ao restaurar um arquivo PE. Essa vulnerabilidade existia desde o ClamAV 0.90.
- CVE-2026-20346 — um estouro de inteiro para baixo no analisador de PDF poderia causar uma falha no processo ao ler uma string hexadecimal inválida.
- CVE-2026-20347 — um estouro de inteiro e comportamento indefinido no analisador Mach-O poderiam causar a falha do scanner ao verificar um arquivo especialmente moldado.
- CVE-2026-20348 — erros de verificação de tamanho no analisador XAR permitiram causar alocação excessiva de memória ou ultrapassar os limites definidos ao descompactar uma tabela de conteúdo corrompida.
- CVE-2025-8088 — foi transferida para a biblioteca UnRAR fornecida com o ClamAV uma correção upstream. No Windows, separadores de caminho dentro de nomes de fluxos alternativos NTFS poderiam permitir a extração de dados além do diretório temporário do ClamAV.
Em ClamAV 1.4.6 corrigiu seis das vulnerabilidades listadas: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 e CVE-2025-8088. Dois problemas do manipulador ZIP — CVE-2026-20337 e CVE-2026-20338 — estão relacionados ao código da versão 1.5 e, portanto, não são pertinentes à versão 1.4.
Separadamente, os desenvolvedores resolveram um antigo problema de segurança de thread do comando clamd ESTATÍSTICAS. Ao realizar a varredura e solicitações de estatísticas simultaneamente, uma corrida poderia resultar na divulgação de dados da memória do processo ou na falha do daemon. O erro estava presente no ClamAV desde a versão 0.95. Também foi corrigido o tratamento de gravação parcial no socket ao enviar grandes respostas de ESTATÍSTICAS. A correção está incluída em ambas as novas versões.
Para FreeBSD, a operação segura de mover e excluir arquivos em quarentena está funcionando novamente. Na versão 1.5.4, também foi corrigido um vazamento de contexto do OpenSSL ao usar funções de hash obsoletas em algumas configurações, particularmente quando o provedor padrão não está disponível em um ambiente com FIPS. Em ambos os ramos, a dependência Rust crossbeam-epoch foi atualizada para remover um aviso. RUSTSEC-2026-0204.
ClamAV é um pacote antivírus livre e multiplataforma, além de um conjunto de bibliotecas para detectar malware, amplamente utilizado em servidores Linux e de e-mail. O projeto é distribuído sob a licença GNU GPLv2.
Fonte: linux.org.ru
