Më 7 gusht janë publikuar versionet korrigjuese të paketës së lirë antivirus. ClamAV 1.5.4 dhe 1.4.6. Vërejtja kryesore në versionet e reja është përqendruar tek siguria: në degën aktuale 1.5 janë mbyllur tetë CVE, gjashtë prej të cilave janë korrigjuar gjithashtu në degën e mbështetur 1.4. Për më tepër, është zhdukur një problem në clamd, që mund të çonte në zbërthimin e përmbajtjes së memories së procesit.
Në ClamAV 1.5.4 janë korrigjuar dobësitë e mëposhtme:
- CVE-2026-20337 â njĂ« gabim nĂ« llogaritjen e madhĂ«sisĂ« sĂ« direktorisĂ« ZIP mund tĂ« çonte nĂ« shkruarje pĂ«rtej buffer-it tĂ« alokuar nĂ« heap gjatĂ« indeksimit tĂ« titujve lokalĂ« tĂ« skedarĂ«ve. Versionet e dobĂ«ta janĂ« ClamAV 1.5.0â1.5.3.
- CVE-2026-20338 â njĂ« gabim nĂ« menaxhimin e memories gjatĂ« bashkimit tĂ« regjistrave tĂ« direktorisĂ« ZIP mund tĂ« çonte nĂ« çlirimin e dĂ«mtuar tĂ« memories gjatĂ« pĂ«rpunimit tĂ« njĂ« arkivi tĂ« formuar posaçërisht. Ajo prekte vetĂ«m degĂ«n 1.5.
- CVE-2026-20345 â njĂ« gabim nĂ« indeksim gjatĂ« konvertimit tĂ« emrave tĂ« seksioneve GPT lejonte tĂ« lexohej ose tĂ« shkruhej tĂ« dhĂ«na pĂ«rtej strukturĂ«s sĂ« seksionit tĂ« vendosur nĂ« stack. Problemi ishte i pranishĂ«m qĂ« prej ClamAV 0.98.2.
- CVE-2026-20339 â njĂ« mbushje e plotĂ« numrash nĂ« dekompresorin PESpin mund tĂ« ndodhte duke alokuar njĂ« buffer shumĂ« tĂ« vogĂ«l me shkruarje tĂ« mĂ«tejshme jashtĂ« tij gjatĂ« rikthimit tĂ« njĂ« skedari PE. DobĂ«sia ka ekzistuar qĂ« prej ClamAV 0.90.
- CVE-2026-20346 â njĂ« mbushje e plotĂ« numrash poshtĂ« nĂ« analizuesin PDF mund tĂ« shkaktonte njĂ« pĂ«rfundim tĂ« papritur tĂ« procesit gjatĂ« leximit tĂ« njĂ« vargu tĂ« pasaktĂ« nĂ« gjashtĂ«mbĂ«dhjetor.
- CVE-2026-20347 â njĂ« mbushje e plotĂ« numrash dhe sjellje e pacaktuar nĂ« analizuesin Mach-O mund tĂ« çonte nĂ« rrĂ«zim tĂ« skanerit gjatĂ« verifikimit tĂ« njĂ« skedari tĂ« formuar posaçërisht.
- CVE-2026-20348 â gabime nĂ« verifikimin e madhĂ«sive nĂ« analizuesin XAR lejonin tĂ« provokohej njĂ« alokim tĂ« tepruar tĂ« memories ose tĂ« kaloheshin kufijtĂ« e vendosur tĂ« skanimit gjatĂ« dekompresimit tĂ« njĂ« tabele pĂ«rmbajtjeje tĂ« dĂ«mtuar.
- CVE-2025-8088 â nĂ« bibliotekĂ«n UnRAR tĂ« dorĂ«zuar me ClamAV Ă«shtĂ« bĂ«rĂ« njĂ« korrigjim nga upstream. NĂ« Windows, ndarĂ«sit e rrugĂ«ve brenda emrave tĂ« rrjedhave alternative NTFS mund tĂ« lejonin nxjerrjen e tĂ« dhĂ«nave pĂ«rtej direktorisĂ« pĂ«rkohshme tĂ« ClamAV.
NĂ« ClamAV 1.4.6 janĂ« korrigjuar gjashtĂ« nga dobĂ«sitĂ« e lartpĂ«rmendura: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 dhe CVE-2025-8088. Dy probleme me menaxhuesin ZIP â CVE-2026-20337 dhe CVE-2026-20338 â janĂ« tĂ« lidhura me kodin e degĂ«s 1.5 dhe prandaj nuk janĂ« tĂ« rĂ«ndĂ«sishme pĂ«r 1.4.
Veçmas, zhvilluesit kanë eliminuar një problem të gjatë të sigurisë së fluksit të komandës istatistikat e clamd. Gjatë kryerjes së skanimeve dhe kërkesave për statistika në të njëjtën kohë, mund të ndodhte një garë që çonte në zbulimin e të dhënave nga memoria e procesit ose në rënien e demonit. Gabimi ishte i pranishëm në ClamAV që nga versioni 0.95. Ata gjithashtu kanë rregulluar trajtimin e shkrimeve pjesore në soket gjatë dërgimit të përgjigjeve të mëdha STATS. Korrigjimi është përfshirë në të dy versionet e reja.
Për FreeBSD, përsëri funksionon operacionet e sigurta për zhvendosjen në karantinë dhe fshirjen e skedarëve. Në 1.5.4, është eliminuar gjithashtu një rrjedhje konteksti OpenSSL gjatë punës me funksionet e vjetra të hash-it në disa konfiguracione, veçanërisht kur ofruesi standard nuk ishte i aksesueshëm në mjedisin me FIPS. Në të dyja deetat është përditësuar varësia Rust crossbeam-epoch për të eliminuar paralajmërimin. RUSTSEC-2026-0204.
ClamAV është një paketë antivius ndër-platformë e lirë dhe një grup bibliotekash për zbulimin e malware-it, e cila përdoret gjerësisht në serverët Linux dhe ata të postës. Projekti shpërndahet nën licencën GNU GPLv2.
Burimi: linux.org.ru
