Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%
ClamAV łata krytyczną podatność
Antywirusy to bardzo wdzięczne do badań oprogramowanie – ze względu na swoją specyfikę, muszą implementować parsery wielu formatów plików. A co za tym idzie jest wiele miejsc, w których można popełnić błąd.
Zgodnie z notką na blogu ClamAV, najnowsze patche 1.4.3 oraz 1.0.9 łatają podatność oznaczoną jako CVE-2025-20260, która została wyceniona na 9.8 w skali CVSS. W kodzie odpowiedzialnym za obsługę formatu PDF (który swoją drogą jest dość specyficzny), znajdowała się luka, która prowadziła do błędnego zarządzania pamięcią i w efekcie błędu typu przepełnienie bufora. Biuletyn bezpieczeństwa mówi o pamięci dynamicznie zarządzanej w czasie wykonania programu, a dodatkowo wspomina o dużych alokacjach pamięci (luka wymaga, aby konfiguracja antywirusa pozwalała na skanowanie plików większych niż 1024 MB oraz rozmiar samego skanu (scan-size scan limit) przekracza 1025 MB – pierwsze ustawienie mówi o całkowitym rozmiarze pojedynczego pliku, drugie o maksymalnym sumarycznym rozmiarze plików w kontenerze np. archiwum – limity wymagane do zaistnienia podatności nie są domyślne, więc bez manualnej zmiany ustawień nie ma możliwości wykorzystania tej podatności). Na bazie tych przesłanek można stwierdzić, że błędu nie powinno się klasyfikować jako standardowego przepełnienia bufora na stosie (stack-based buffer overflow) tylko na stercie (heap-based buffer overflow), co wymusza inną technikę wykorzystania tej podatności.
W wyniku wykorzystania tej podatności atakujący może doprowadzić do odmowy dostępu (logiczny DoS), a w skrajnym przypadku wykonania kodu.
Oprócz tego, najnowsze wydania łatają podatności CVE-2025-20234 – przepełnienie bufora w parserze plików UDF. Skutkiem podesłania przez atakującego spreparowanego pliku w formacie UDF będzie zakończenie procesu ClamAV – czyli jest to typowy DoS – stąd też niższa, niż dla poprzedniej podatności, wycena CVSS, bo tylko 5.3
Na koniec załatano jeszcze potencjalną podatność klasy use-after-free w kodzie odpowiadającym za obsługę xz. Błąd został zgłoszony przez projekt OSS Fuzz, inicjatywę Google, która umożliwia ciągłe testowanie wolnego oprogramowania metodą fuzzingu.
Jeśli wasze rozwiązania korzystają z ClamAV – zalecamy szybką aktualizację. Jak na razie nie zarejestrowano publicznego PoCa, ale na bazie analizy różnic w oprogramowaniu, odpowiednio umotywowany atakujący, będzie w stanie odtworzyć ścieżkę ataku.
~Black Hat Logan
Czy ClamAV kiedykolwiek kogoś przed czymś uratował? Pytam poważnie, nie znam się i jestem ciekawy czy to jest rozwiązanie tylko po to żeby można sobie było w Excelu odhaczyć pozycję „mamy antywirusa” czy faktycznie wnosi jakąś wartość?
Na serwerach Linuxowych jest często używany.
To że nie jest o nim głośno w mediach, nie znaczy że nie istnieje i nie działa. Działa i to bardzo dobrze…
„To zależy”.
Jeśli od tak zainstalujesz ClamAV i zapomnisz to jest skrajnie bezużyteczny bo w domyślnej konfiguracji praktycznie nic nie robi.
Ale odpowiednio skonfigurowany, np. Jako część Linux Malware Detect potrafi znajdywać nie tylko statyczne sygnatury ale wnikliwie analizować pliki i robić detekcję za pomocą wielu różnych sposobów (np. yara rules). Poprawnie skonfigurowany jest w stanie wykryć praktycznie wszystko. Możesz nawet zrobić własne reguły, aby wykrywał niechciane oprogramowanie, które nie jest domyślnie szkodliwe, ale często jest dokładane do innego oprogramowania.
Wiem że format PDF obsługuje najmniej znaczące bity, a więc nadaje się do steganografii. Obsługuje też JavaScript, co czyni go formatem o wielu możliwościach ale i niebezpiecznym jednocześnie. Oczywiście, obsługuje PostScript, co też daje wektor zagrożenia.
Ale co jest „specyficznego” w formacie PDF?
Serio pytam…
Da się go zintegrować z proxy http, na przykład ze Squidem, chociaż do MITM-owania ruchu https potrzeba jeszcze dużo pracy.
Jakieś tam proste i nieskompresowane z hasłem załączniki na serwerze pocztowym, czy Nextcloudzie (o ile nie mamy skonfigurowanego szyfrowania plików) też zrobi.
Jak już wirus jest na dysku i się go uruchomi, to trzeba polegać na czymś mocniejszym, albo na dużym szczęściu.
Z tego co pamiętam, a nie znam się, to sporo rozwiązań utm ale też innych filtrów używało lub jeszcze używa silnik clamav
OMV używa