8月7日，免费杀毒软件发布了补丁版本。 ClamAV 1.5.4 和 1.4.6新版本主要针对安全性：当前 1.5 分支已修复 8 个 CVE 漏洞，其中 6 个漏洞也已在受支持的 1.4 分支中修复。此外，还修复了一个可能导致进程内存泄露的 clamd 漏洞。
В 蛤AV 1.5.4 以下漏洞已修复：
- CVE-2026-20337 — ZIP 目录大小统计错误可能导致在索引本地文件头时发生堆内存越界写入。ClamAV 版本 1.5.0 至 1.5.3 存在此漏洞。
- CVE-2026-20338 — 合并 ZIP 目录条目时出现的内存管理错误可能导致处理特制归档文件时内存释放不正确。此问题仅影响 1.5 分支。
- CVE-2026-20345 — 转换 GPT 分区名称时出现索引错误，允许在分区堆栈结构之外读取或写入数据。此问题自 ClamAV 0.98.2 版本起就已存在。
- CVE-2026-20339 PESpin 解包器中的整数溢出可能导致分配过小的缓冲区，进而导致在恢复 PE 文件时发生越界写入。该漏洞自 ClamAV 0.90 版本起就已存在。
- CVE-2026-20346 - PDF 解析器中的整数下溢可能会导致读取无效十六进制字符串时进程崩溃。
- CVE-2026-20347 — Mach-O 分析器中存在整数溢出和未定义行为漏洞，当扫描特制文件时，扫描器可能会崩溃。
- CVE-2026-20348 — XAR 解析器中的大小检查错误可能会导致在解包损坏的目录时内存过度分配或超出扫描限制。
- CVE-2025-8088 — 上游修复程序已移至 ClamAV 提供的 UnRAR 库中。 Windows NTFS 备用流名称中的路径分隔符可能允许从 ClamAV 临时目录之外提取数据。
В 蛤AV 1.4.6 列出的漏洞中有六个已经修复： CVE-2026-20345, CVE-2026-20339, CVE-2026-20346, CVE-2026-20347, CVE-2026-20348 и CVE-2025-8088ZIP处理程序存在两个问题 - CVE-2026-20337 и CVE-2026-20338 — 与 1.5 分支代码相关，因此与 1.4 无关。
此外，开发人员还修复了该命令线程安全方面长期存在的问题。 蛤蜊统计数据当同时进行扫描和查询统计信息时，竞态条件可能导致进程内存中的数据泄露或守护进程崩溃。此漏洞自 ClamAV 0.95 版本起就已存在。此外，在发送大型 STATS 响应时，部分套接字写入的处理问题也已修复。此修复已包含在两个新版本中。
FreeBSD 现已重新支持将文件安全移动到隔离区和删除文件的操作。1.5.4 版本还修复了在某些配置中使用旧版哈希函数时（尤其是在 FIPS 环境中默认提供程序不可用时）的 OpenSSL 上下文泄漏问题。此外，两个分支中的 crossbeam-epoch Rust 依赖项均已更新，以解决一个警告。 RUSTSEC-2026-0204.
ClamAV 是一款跨平台、免费的防病毒套件和恶意软件检测库套件，被广泛使用。 Linux以及邮件服务器。该项目根据以下许可证分发： GNU GPLv2.
来源： linux.org.ru
