Den 7 augusti publicerades korrigerande versioner av det fria antiviruspaketet ClamAV 1.5.4 och 1.4.6. Det nya fokusomrÄdet i de senaste versionerna Àr sÀkerhet: Ätta CVE har stÀngts i den aktuella 1.5-grenen, sex av dessa har Àven ÄtgÀrdats i den stödda 1.4-grenen. Dessutom har ett problem i clamd eliminerats, vilket kunde leda till avslöjande av innehÄllet i processens minne.
I ClamAV 1.5.4 följande sÄrbarheter har ÄtgÀrdats:
- CVE-2026-20337 â ett fel i hanteringen av storleken pĂ„ ZIP-kataloger kunde leda till skrivning utanför det tilldelade heap-minnet vid indexering av lokala filrubriker. Klarade versioner av ClamAV 1.5.0â1.5.3.
- CVE-2026-20338 â ett fel i minneshanteringen vid sammanfogning av ZIP-katalogposter kunde leda till felaktig frigöring av minne vid behandling av ett sĂ€rskilt formaterat arkiv. PĂ„verkade endast 1.5-grenen.
- CVE-2026-20345 â ett indexeringsfel vid konvertering av GPT-partitionsnamn tillĂ€t lĂ€sning eller skrivning av data utanför partitionens struktur, placerad pĂ„ stacken. Problemet fanns sedan ClamAV 0.98.2.
- CVE-2026-20339 â ett heltalsöverskridande i PESpin-dekompressorn kunde leda till tilldelning av en för liten buffert följt av skrivning utanför dess grĂ€nser vid Ă„terstĂ€llning av PE-filer. SĂ„rbarheten fanns sedan ClamAV 0.90.
- CVE-2026-20346 â ett nedĂ„tgĂ„ende heltalsöverskridande i PDF-analyzatorn kunde orsaka att processen kraschade vid lĂ€sning av en felaktig hex-strĂ€ng.
- CVE-2026-20347 â ett heltalsöverskridande och odefinierat beteende i Mach-O-analyzatorn kunde leda till att skannern kraschade vid kontroll av en sĂ€rskilt formaterad fil.
- CVE-2026-20348 â fel i storlekskontrollerna i XAR-analyzatorn gjorde det möjligt att orsaka överdriven minnestilldelning eller överskrida faststĂ€llda skanningsgrĂ€nser vid dekomprimering av en skadad innehĂ„llstabell.
- CVE-2025-8088 â en buggfix frĂ„n upstream har överförts till det medföljande UnRAR-biblioteket. PĂ„ Windows kunde sökvĂ€gsavgrĂ€nsare i namn pĂ„ alternativa NTFS-strömmar tillĂ„ta extrahering av data utanför det temporĂ€ra ClamAV-katalogen.
I ClamAV 1.4.6 sex av de angivna sĂ„rbarheterna har Ă„tgĂ€rdats: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 och CVE-2025-8088. TvĂ„ problem med ZIP-hanteraren â CVE-2026-20337 och CVE-2026-20338 â Ă€r relaterade till koden i 1.5-grenen och Ă€r dĂ€rför inte aktuella för 1.4.
Separat har utvecklarna Ă„tgĂ€rdat ett gammalt problem med trĂ„dsĂ€kerheten i kommandot. clamd STATISTICS. Vid samtidig körning av skanning och statistikanrop kunde en konkurrenssituation leda till att data avslöjades frĂ„n processens minne eller att demon gick ner. Felet fanns i ClamAV frĂ„n version 0.95. Ăven hanteringen av delvis skrivning till socket vid skickande av stora STATS-svar har Ă„tgĂ€rdats. Fixen ingĂ„r i bĂ„da nya versioner.
För FreeBSD fungerar sÀkra operationer med rörande till karantÀn och borttagning av filer igen. I version 1.5.4 ÄtgÀrdades dessutom en lÀcka av OpenSSL-kontext nÀr förÄldrade hash-funktioner anvÀndes i vissa konfigurationer, sÀrskilt nÀr standardleverantören saknades i en FIPS-miljö. I bÄda grenarna har Rust-beroendet crossbeam-epoch uppdaterats för att eliminera varningen. RUSTSEC-2026-0204.
ClamAV Àr ett plattformsoberoende, gratis antiviruspaket och ett bibliotek för att upptÀcka skadlig programvara, som Àr allmÀnt anvÀnt pÄ Linux- och e-postservrar. Projektet distribueras under en licens. GNU GPLv2.
KĂ€lla: linux.org.ru
