Në 7 gusht janë publikuar versionet korigjuese të paketës së lirë antivirus. ClamAV 1.5.4 dhe 1.4.6. Vëmendja kryesore në versionet e reja është për sigurinë: në degën aktuale 1.5 janë mbyllur tetë CVE, gjashtë nga të cilat janë rregulluar gjithashtu në degën mbështetëse 1.4. Për më tepër, është eliminuar një problem në clamd që mund të çonte në zbulimin e përmbajtjes së memories së procesit.
Në ClamAV 1.5.4 janë rregulluar dobësitë e mëposhtme:
- CVE-2026-20337 â njĂ« gabim nĂ« llogaritjen e madhĂ«sisĂ« sĂ« katalogut ZIP mund tĂ« kishte çuar nĂ« regjistrimin jashtĂ« kufijve tĂ« memorie tĂ« alokuar gjatĂ« indeksimit tĂ« titujve lokalĂ« tĂ« skedarĂ«ve. Versionet e prekura tĂ« ClamAV janĂ« 1.5.0â1.5.3.
- CVE-2026-20338 â njĂ« gabim nĂ« menaxhimin e memories gjatĂ« bashkimit tĂ« regjistrave tĂ« katalogut ZIP mund tĂ« kishte çuar nĂ« lirimin e pavlefshĂ«m tĂ« memories gjatĂ« trajtimit tĂ« njĂ« arkivi tĂ« formuar posaçërisht. Kjo prekte vetĂ«m degĂ«n 1.5.
- CVE-2026-20345 â njĂ« gabim nĂ« indeksim gjatĂ« konvertimit tĂ« emrave tĂ« seksioneve GPT lejonte leximin ose shkrimin e tĂ« dhĂ«nave pĂ«rtej strukturĂ«s sĂ« seksionit, e cila ishte vendosur nĂ« grumbull. Problemi ishte i pranishĂ«m qĂ« nga ClamAV 0.98.2.
- CVE-2026-20339 â njĂ« mbushje e numrit tĂ« plotĂ« nĂ« shpĂ«rndarĂ«sin PESpin mund tĂ« kishte çuar nĂ« alokimin e njĂ« bufferi shumĂ« tĂ« vogĂ«l me regjistrimin e mĂ«passhĂ«m pĂ«rtej tij gjatĂ« rikuperimit tĂ« skedarit PE. DobĂ«sia ekzistonte qĂ« nga ClamAV 0.90.
- CVE-2026-20346 â njĂ« mbushje e numrit tĂ« plotĂ« nĂ« analizuesin PDF mund tĂ« kishte shkaktuar crash-in e procesit gjatĂ« leximit tĂ« njĂ« stringu hexadecimal tĂ« pavlefshĂ«m.
- CVE-2026-20347 â njĂ« mbushje e numrit tĂ« plotĂ« dhe sjellje e pacaktuar nĂ« analizuesin Mach-O mund tĂ« kishin çuar nĂ« rĂ«nien e skanerit gjatĂ« kontrollit tĂ« njĂ« skedari tĂ« formuar posaçërisht.
- CVE-2026-20348 â gabimet nĂ« kontrollin e madhĂ«sive nĂ« analizuesin XAR lejonin qĂ« tĂ« shkaktohej mbushje e tepruar e memories ose tĂ« tejkaloheshin kufijtĂ« e vendosur tĂ« skanimit gjatĂ« shpĂ«rbĂ«rjes sĂ« njĂ« tabele tĂ« pĂ«rmbajtjes tĂ« dĂ«mtuar.
- CVE-2025-8088 â nĂ« bibliotekĂ«n UnRAR tĂ« shpĂ«rndarĂ« me ClamAV Ă«shtĂ« transferuar njĂ« rregullim upstream. NĂ« Windows, ndarĂ«sit e rrugĂ«s brenda emrave tĂ« rrjedhave alternative NTFS mund tĂ« lejojnĂ« qĂ« tĂ« dhĂ«nat tĂ« nxirren pĂ«rtej katalogut pĂ«rkohĂ«sor tĂ« ClamAV.
NĂ« ClamAV 1.4.6 janĂ« rregulluar gjashtĂ« nga dobĂ«sitĂ« e pĂ«rmendura: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 dhe CVE-2025-8088. Dy probleme tĂ« menaxherit ZIP â CVE-2026-20337 dhe CVE-2026-20338 â pĂ«rkasin kodit tĂ« degĂ«s 1.5 dhe pĂ«r kĂ«tĂ« arsye nuk janĂ« tĂ« rĂ«ndĂ«sishme pĂ«r 1.4.
Veçmas, zhvilluesit kanë eliminuar një problem të vjetër për sigurinë e rrjedhave të komandës. clamd STATISTIKAT. Kur në të njëjtën kohë kryhen skanime dhe kërkesa për statistikë, një garë mund të çojë në ekspozimin e të dhënave nga memoria e procesit ose në rënien e demonit. Gabimi ka qenë i pranishëm në ClamAV që nga versioni 0.95. Po ashtu është rregulluar përpunimi i shënimeve të pjesshme në socket gjatë dërgimit të përgjigjeve të mëdha STATS. Korrektimi është përfshirë në të dy versionet e reja.
Për FreeBSD përsëri funksionon në mënyrë të sigurt operacionet e lëvizjes në karantinë dhe të fshirjes së skedarëve. Në 1.5.4 është eliminuar gjithashtu rrjedhja e kontekstit OpenSSL kur përdoren funksionet e vjetra të hash-it në disa konfiguracione, veçanërisht kur ofruesi standard nuk është i disponueshëm në mjedisin FIPS. Në të dy degët është përditësuar varësia Rust crossbeam-epoch për të eliminuar paralajmërimin. RUSTSEC-2026-0204.
ClamAV është një paketë antikushtore dhe një grup bibliotekash me burim të hapur për zbulimin e software-it të keq, e cila përdoret gjerësisht në serverët Linux dhe në ato të postës. Projekti shpërndahet nën licencën GNU GPLv2.
Burimi: linux.org.ru
