ClamAV (Clam AntiVirus)

Основная статья: Антивирусы

ClamAV – кроссплатформенный антивирус с открытым исходным кодом, который преимущественно применяется для проверки почты на общедоступных почтовых серверах.

2023: Выявление уязвимостей CVE-2023-20032 и CVE-2023-20052

17 февраля 2023 года стало известно о том, что в бесплатном антивирусном пакете ClamAV компании Cisco были выявлены две опасные бреши. С их помощью злоумышленник может похитить любые файлы с компьютера жертвы или выполнить на нем произвольный код. Физический доступ к машине не понадобится – эксплуатировать «дыры» можно удаленно. Обе уязвимости обнаружил исследователь в области информационной безопасности Саймон Сканелл (Simon Scanell) из корпорации Google.

Как сообщалось, бреши закрыты специалистами Cisco в ClamAV версий 1.01, 0.150.3 и 0.103.8. Обновленные сборки программы можно загрузить с официального сайта проекта.

ClamAV

Первая из обнаруженных экспертами уязвимостей отслеживается под идентификатором CVE-2023-20032, ее опасность оценена экспертами в 9,8 балла из 10 возможных. Согласно информации, опубликованной на портале Cisco, брешь затрагивает парсер файлов формата HFS+.

Файлы формата HFS+ содержат образы диска на основе файловой системы HFS+ (Hierarchical File System Plus), разработанной Apple и применяемой в операционной системе macOS.ИТ-директор «Роснефти» Дмитрий Ломилин выступит на TAdviser SummIT 28 ноября

Для проверки такого образа на предмет наличия вредоносного ПО антивирусу необходимо его предварительно «распаковать», подобно тому как это происходит с архивами, к примеру, ZIP или RAR.

Парсер образов HFS+ ClamAV – модуль антивируса, который и отвечает за «распаковку» – содержит уязвимость, которая делает возможным выполнение злоумышленником произвольного кода.

Уязвимость вызвана ошибкой разработчиков, которые не предусмотрели проверку размера буфера в куче (heap), что позволяет атакующему записать в область за пределами буфера и вызвать выполнение кода с привилегиями процесса ClamAV или вызывать нештатную остановку самого процесса, тем самым приведя систему в состояние отказа в обслуживании (DoS condition).

Как поясняют в Cisco, для этого хакеру нужно доставить сформированный по особым правилам файл формата HFS+ на систему жертвы. Триггером начала атаки станет проверка антивирусом этого файла.

В блоге ClamAV упомянута и другая брешь – CVE-2023-20052 (опасность – 5,3 балла). Как и CVE-2023-20032, она имеет отношение к парсерсу и допускает утечку любых файлов на машине, к которым у процесса ClamAV имеется доступ. Однако на этот раз «виноват» парсер файлов образов формата DMG, который также в основном используется в операционной системе macOS. Атака начинается со «скармливания» антивирусу специально оформленного DMG-файла ^[1].

2007: Выкуп проекта

В 2007 г. проект был выкуплен у его ключевых разработчиков компанией Sourcefire, которая впоследствии – в 2013 г. – перешла под контроль Cisco.

Примечания