Компания Cisco опубликовала новые выпуски свободного антивирусного пакета ClamAV 1.0.1, 0.105.3 и 0.103.8, в которых устранена критическая уязвимость (CVE-2023-20032), способная привести к удалённому выполнению кода на сервере при сканировании в ClamAV файлов со специально оформленными дисковыми образами в формате HFS+.
Уязвимость вызвана отсутствием должной проверки размера буфера, что позволяет записать свои данные в область за границу буфера и организовать выполнение кода с правами процесса ClamAV, сканирующего извлекаемые из писем файлы. Публикацию обновлений пакетов в дистрибутивах можно проследить на страницах: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD.
В новых выпусках также устранена ещё одна уязвимость (CVE-2023-20052), которая может привести к утечке содержимого из любых файлов на сервере, к которым имеется доступ процесса, выполняющего сканирование. Уязвимость проявляется при разборе специально оформленных файлов в формате DMG и вызвана тем, что парсер в процессе разбора допускает подстановку внешних элементов XML, на которые имеются ссылки в разбираемом DMG-файле.