Krytyczna podatność w antywirusie ClamAV. Przesyłając odpowiednio złośliwy plik, można wykonać dowolny kod w systemie, na którym działa antywirus. CVE-2023-20032

Podatność CVE-2023-20032 (critical) została właśnie załatana:

A vulnerability in the HFS+ partition file parser of ClamAV versions 1.0.0 and earlier, 0.105.1 and earlier, and 0.103.7 and earlier could allow an unauthenticated, remote attacker to execute arbitrary code.

Załatane wersje ClamAV: 0.103.8, 0.105.2, 1.0.1

Sprawa może być o tyle problematyczna, że ten bezpłatny silnik antywirusowy używany bywa w urządzeniach sieciowych. Jak np. informuje Cisco:

This vulnerability is due to a missing buffer size check that may result in a heap buffer overflow write. An attacker could exploit this vulnerability by submitting a crafted HFS+ partition file to be scanned by ClamAV on an affected device. A successful exploit could allow the attacker to execute arbitrary code with the privileges of the ClamAV scanning process, or else crash the process, resulting in a denial of service (DoS) condition.

Producent wskazuje też które produkty używają/używały ClamAVa + informacja o fixach:

~ms