思科發布了新版本的免費防毒軟體包ClamAV 1.0.1、0.105.3 和0.103.8，消除了一個嚴重漏洞(CVE-2023-20032)，該漏洞在使用專門設計的磁碟映像掃描檔案時可能導致程式碼執行。ClamAV HFS+ 格式。
該漏洞是由於缺乏對緩衝區大小的適當檢查而引起的，緩衝區大小允許您將資料寫入緩衝區邊界之外的區域，並使用 ClamAV 進程的權限組織程式碼的執行，例如掃描從郵件伺服器上的信件。 可以在以下頁面追蹤發行版中軟體包更新的發布：Debian、Ubuntu、Gentoo、RHEL、SUSE、Arch、FreeBSD、NetBSD。
新版本還修復了另一個漏洞 (CVE-2023-20052)，該漏洞可能會洩漏執行掃描的進程存取的伺服器上任何檔案的內容。 這個漏洞發生在解析專門設計的 DMG 格式檔案時，原因是解析器在解析過程中允許替換解析的 DMG 檔案中引用的外部 XML 元素。
來源： opennet.ru