Cisco har släppt antiviruspaketet ClamAV 1.3.0 och åtgärdat en allvarlig sårbarhet.

Efter sex månaders utveckling publicerade företaget Cisco en ny version av antiviruspaketet ClamAV 1.3.0. Projektet övergick till Cisco 2013 efter förvärvet av företaget Sourcefire, som utvecklade ClamAV och Snort. Projektets kod distribueras under GPLv2-licensen. Version 1.3.0 klassificeras som en vanlig version (inte LTS), där uppdateringar publiceras i minst fyra månader efter att den första versionen av nästa gren har släppts. Möjligheten att ladda ner signaturdatabasen för icke-LTS-grenar säkerställs också i minst fyra månader efter att nästa gren har släppts.

Nyckelförbättringar i ClamAV 1.3:

• Stöd för extrahering och kontroll av bilagor som används i Microsoft OneNote-filer har lagts till. Analysen av OneNote-formatet är aktiverad som standard, men kan inaktiveras genom att ställa in «ScanOneNote no» i clamd.conf, ange alternativet kommandorad «—scan-onenote=no» när man startar clamscan-verktyget eller lägga till flaggan CL_SCAN_PARSE_ONENOTE i parameter options.parse när libclamav används.
• Byggandet av ClamAV i det BeOS-liknande operativsystemet Haiku har etablerats.
• I clamd har en kontroll av existensen av katalogen för temporära filer, angiven i clamd.conf via direktivet TemporaryDirectory, lagts till. Om denna katalog saknas avslutas processen nu med ett felmeddelande.
• Vid konfigureringen av byggnation av statiska bibliotek i CMake har installationen av de statiska biblioteken libclamav_rust, libclammspack, libclamunrar_iface och libclamunrar, som används i libclamav, säkerställts.
• Bestämning av filtyp för kompilering av Python-skript (.pyc) har implementerats. Filtypen överförs i form av en strängparameter CL_TYPE_PYTHON_COMPILED, som stöds i funktionerna clcb_pre_cache, clcb_pre_scan och clcb_file_inspection.
• Stödet för avkodning av PDF-dokument med tomt lösenord har förbättrats.

Samtidigt har uppdateringar av ClamAV 1.2.2 och 1.0.5 skapats, där två sårbarheter har åtgärdats, som påverkar versionerna 0.104, 0.105, 1.0, 1.1 och 1.2:

• CVE-2024-20328 — möjligheten att infoga kommandon under filkontrollen i clamd på grund av ett fel i implementeringen av direktivet «VirusEvent», som används för att köra ett godtyckligt kommando vid upptäckten av ett virus. Detaljer om utnyttjandet av sårbarheten har ännu inte avslöjats, det som är känt är att problemet har åtgärdats genom att stödja formatteringsparametern ‘%f’ i VirusEvent, som ersattes av namnet på den infekterade filen.

  Enligt uppgifter förefaller attacken handla om att överföra ett specialformaterat namn på en infekterad fil, som innehåller speciella tecken som inte är escapade vid körning av kommandot som anges i VirusEvent. Det är anmärkningsvärt att en liknande sårbarhet redan åtgärdades 2004, även då genom att ta bort stödet för mönstret ‘%f’, vilket sedan återinfördes i versionen ClamAV 0.104 och ledde till att den gamla sårbarheten återuppstod. I den gamla sårbarheten räckte det med att skapa en fil med namnet “; mkdir owned” och skriva en testvirus-sigantur i den för att utföra sitt kommando under virussökningen.

• CVE-2024-20290 — buffertöverskridning i koden för att analysera filer med innehåll i OLE2-format, vilket en avlägsen, icke-autentiserad angripare kan utnyttja för att orsaka en tjänsteavbrott (krasch av skanningsprocessen). Problemet orsakas av en felaktig kontroll av radslut under skanning av innehållet, vilket leder till att läsa från utanför buffertgränsen.

Källa: opennet.ru