Ngày 7 tháng 8, các bản vá lỗi của gói phần mềm diệt virus miễn phí đã được phát hành. NgaoAV 1.5.4 và 1.4.6Các phiên bản mới tập trung vào bảo mật: tám lỗ hổng CVE đã được khắc phục trong nhánh 1.5 hiện tại, sáu trong số đó cũng đã được sửa trong nhánh 1.4 được hỗ trợ. Ngoài ra, một lỗ hổng clamd có thể dẫn đến việc tiết lộ bộ nhớ tiến trình cũng đã được sửa chữa.
В Ngao AV 1.5.4 Các lỗ hổng bảo mật sau đây đã được khắc phục:
- CVE-2026-20337 — Lỗi trong việc tính toán kích thước thư mục ZIP có thể dẫn đến ghi dữ liệu vượt quá giới hạn vùng nhớ heap khi lập chỉ mục tiêu đề tệp cục bộ. Các phiên bản ClamAV 1.5.0–1.5.3 dễ bị tổn thương.
- CVE-2026-20338 — Lỗi quản lý bộ nhớ khi hợp nhất các mục thư mục ZIP có thể dẫn đến việc giải phóng bộ nhớ không chính xác khi xử lý một tệp lưu trữ được tạo đặc biệt. Lỗi này chỉ ảnh hưởng đến nhánh 1.5.
- CVE-2026-20345 — Lỗi lập chỉ mục khi chuyển đổi tên phân vùng GPT cho phép đọc hoặc ghi dữ liệu bên ngoài cấu trúc dựa trên ngăn xếp của phân vùng. Vấn đề này đã tồn tại kể từ ClamAV 0.98.2.
- CVE-2026-20339 — Lỗi tràn số nguyên trong trình giải nén PESpin có thể dẫn đến việc cấp phát bộ đệm có kích thước nhỏ hơn mức cần thiết, tiếp theo là lỗi ghi vượt quá giới hạn khi khôi phục tệp PE. Lỗ hổng này đã tồn tại từ phiên bản ClamAV 0.90.
- CVE-2026-20346 - Lỗi tràn số nguyên âm trong trình phân tích cú pháp PDF có thể gây ra sự cố sập tiến trình khi đọc một chuỗi thập lục phân không hợp lệ.
- CVE-2026-20347 — Lỗ hổng tràn số nguyên và hành vi không xác định trong trình phân tích Mach-O có thể khiến trình quét bị lỗi khi quét một tập tin được tạo ra đặc biệt.
- CVE-2026-20348 — Các lỗi kiểm tra kích thước trong trình phân tích cú pháp XAR có thể gây ra tình trạng phân bổ bộ nhớ quá mức hoặc vượt quá giới hạn quét khi giải nén bảng mục lục bị hỏng.
- CVE-2025-8088 — Bản vá lỗi từ nguồn gốc đã được chuyển vào thư viện UnRAR được cung cấp kèm theo ClamAV. Windows Các dấu phân cách đường dẫn trong tên luồng thay thế NTFS có thể cho phép trích xuất dữ liệu vượt ra ngoài thư mục tạm thời của ClamAV.
В Ngao AV 1.4.6 Sáu trong số các lỗ hổng bảo mật được liệt kê đã được khắc phục: CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 и CVE-2025-8088Hai vấn đề với trình xử lý ZIP - CVE-2026-20337 и CVE-2026-20338 — liên quan đến mã nhánh 1.5 và do đó không liên quan đến 1.4.
Ngoài ra, các nhà phát triển đã khắc phục một sự cố tồn tại lâu năm liên quan đến tính an toàn luồng của lệnh. clamd STATSKhi quét và truy vấn số liệu thống kê đồng thời, tình trạng tranh chấp dữ liệu có thể dẫn đến rò rỉ dữ liệu từ bộ nhớ tiến trình hoặc gây sập tiến trình nền. Lỗi này đã tồn tại trong ClamAV kể từ phiên bản 0.95. Việc xử lý ghi dữ liệu một phần vào socket khi gửi phản hồi STATS lớn cũng đã được khắc phục. Bản sửa lỗi được bao gồm trong cả hai phiên bản mới.
Hiện tại, các thao tác an toàn để di chuyển tập tin vào khu vực cách ly và xóa chúng đã được hỗ trợ trở lại trên FreeBSD. Phiên bản 1.5.4 cũng khắc phục lỗi rò rỉ ngữ cảnh OpenSSL khi sử dụng các hàm băm cũ trong một số cấu hình, đặc biệt là khi nhà cung cấp mặc định không khả dụng trong môi trường FIPS. Sự phụ thuộc Rust của crossbeam-epoch đã được cập nhật ở cả hai nhánh để giải quyết một cảnh báo. RUSTSEC-2026-0204.
ClamAV là một bộ phần mềm diệt virus và phát hiện phần mềm độc hại đa nền tảng, miễn phí, được sử dụng rộng rãi trong... Linux- và máy chủ thư điện tử. Dự án được phân phối theo giấy phép GNU GPLv2.
Nguồn: linux.org.ru
