Антивирус с открытым исходным кодом ClamAV 1.5.3 устраняет множество уязвимостей в системе безопасности

Вышел ClamAV 1.5.3 — обновление для системы безопасности антивирусного движка с открытым исходным кодом, широко используемого в Linux и Unix-подобных системах, особенно для сканирования почтовых шлюзов, защиты файловых серверов и автоматического обнаружения вредоносных программ.

Обновление устраняет проблемы, отмеченные в базе данных CVE, которые влияли на работу ClamAV с поврежденными или специально созданными файлами. Одна из них, CVE-2026-20217, связана с путем очистки распаковщика PESpin, где из-за ошибки могли освобождаться указатели в буфере сканируемого файла, что приводило к сбою сканера.

Еще одно исправление, связанное с PE, устраняет CVE-2026-20213 — переполнение целого числа при вычислении размера PE-файла после перекомпиляции. Это могло произойти из-за некорректного PE-файла, упакованного Aspack, и привести к переполнению буфера кучи. В ClamAV 1.5.3 также исправлена CVE-2026-20214 — ошибка в цикле распаковки FSG, которая могла привести к записи за пределы массива секций при сканировании некорректного PE-файла.

При сканировании архивов также были исправлены ошибки, связанные с безопасностью. CVE-2026-20216 устраняет обход ограничения на извлечение архивов InstallShield, из-за которого ClamAV мог записывать больше временных данных, чем предполагалось, что могло привести к нехватке памяти. Кроме того, в этом выпуске исправлены CVE-2026-20243, ошибки, связанные с обработкой размера в парсере ALZ, из-за которых некорректно сформированные архивы ALZ могли вызывать панику, прерывать работу сканера или пропускать проверки ограничений сканирования.

Еще одна уязвимость, связанная с архивами, CVE-2026-20215, касается парсера 7z. Ошибка заключалась в переполнении счетчика подпотоков, что приводило к недостаточному выделению памяти для массивов метаданных и выходу за границы при чтении поврежденного архива.

Последняя из перечисленных уязвимостей — CVE-2026-20244, затрагивающая только 32-битные сборки ClamAV. Она исправляет проверку размера парсера DMG, из-за которой неправильно сформированная таблица mish stripe могла пройти валидацию и привести к сбою 32-битных сканеров. 64-битные сборки не затронуты.

Помимо исправлений уязвимостей CVE, в ClamAV 1.5.3 усилены меры по защите карантина в clamscan, clamdscan, и clamonacc от гонок времени проверки и использования. В небезопасных конфигурациях каталога карантина такие гонки могли приводить к перенаправлению скопированных, перемещенных или удаленных файлов.

Кроме того, в ClamAV 1.5.3 изменена обработка предварительного сканирования метаданных, так что эти проверки выполняются до вынесения окончательного вердикта. В ClamOnAcc исправлены две ошибки: одна — при рекурсивном исключении путей, которые являются дочерними по отношению к включенному пути, а другая — при повреждении списка хэш-бакетов, когда два отслеживаемых пути попадают в один и тот же багет.

Наконец, пользователям старой ветки 1.4 следует знать, что также вышла версия ClamAV 1.4.5 с теми же исправлениями безопасности.

Более подробную информацию можно найти в объявлении. Файлы релиза доступны на странице загрузок ClamAV, в разделе релизов GitHub и в Docker Hub, где представлены образы контейнеров на основе Alpine и Debian.

Редактор: AndreyEx