A empresa Cisco publicou novas versões do pacote antivírus gratuito ClamAV 1.4.3 e 1.0.98, nas quais vulnerabilidades foram corrigidas, uma das quais pode levar à execução de código malicioso ao verificar conteúdos especialmente elaborados.
- CVE-2025-20260 - um erro no código de análise de arquivos em formato PDF, que leva à gravação de dados além do buffer alocado. O problema ocorre em configurações onde o tamanho máximo das configurações file-size e scan-size é igual ou superior a 1024 MB e 1025 MB, respectivamente. A exploração da vulnerabilidade é possível a partir da versão 1.0.0 e pode levar à execução de código com os privilégios do processo ClamAV.
- CVE-2025-20234 - um erro no código de análise de arquivos em formato UDF, que leva à leitura de dados da área de memória além do buffer alocado. O problema pode causar a finalização inesperada do processo ou vazamento de dados da memória para um arquivo temporário. A vulnerabilidade se manifesta a partir da versão 1.2.0.
- Acesso à memória após sua liberação no módulo de descompactação de arquivos em formato xz (CVE não atribuído). O problema é causado por um erro na biblioteca lzma-sdk embutida no código do ClamAV, que foi corrigido no projeto principal na versão lzma-sdk 18.03, lançada em 2018, sem menção à correção da vulnerabilidade. A vulnerabilidade se manifesta em todas as versões do ClamAV, a partir da versão 0.99.4.
Fonte: opennet.ru
