ClamAV (Clam AntiVirus)

Основная статья: Антивирусы

ClamAV – кроссплатформенный антивирус с открытым исходным кодом, который преимущественно применяется для проверки почты на общедоступных почтовых серверах.

2025: Выявление двух критических уязвимостей, позволяющих получить контроль над системой

В антивирусном движке ClamAV обнаружены две критические уязвимости (CVE-2025-20260 и CVE-2025-20234), позволяющие злоумышленникам получить контроль над системой или даже вывести её из строя. Об этом 20 июня 2025 года сообщили представители компании «Газинформсервис».

«В последние годы уязвимости в популярных антивирусных движках становятся всё более серьёзной угрозой для организаций, и ситуация с ClamAV не является исключением. Обе выявленные уязвимости в этой версии ClamAV могут иметь критические последствия для безопасности, — пояснила Екатерина Едемская, инженер-аналитик компании «Газинформсервис». — Первая из них, CVE-2025-20260, позволяет атакующему вызвать переполнение буфера через неправильно обработанные PDF-файлы, если антивирус настроен на сканирование больших файлов. Вторая уязвимость, CVE-2025-20234, хотя и менее критична по шкале CVSS (5.3), может привести к отказу в обслуживании (DoS) при обработке файлов UDF».

Эксперт подчеркнула, что атака через CVE-2025-20260 может быть успешно проведена только при использовании специфичных настроек, часто встречающихся в корпоративных и высокопроизводительных средах. Это делает уязвимость особенно опасной для организаций, работающих с большими объёмами данных, такими как архивы или электронные почтовые вложения. В «Т1» — большое укрупнение. TAdviser составил карту активов холдинга 12.7 т

Едемская отметила, что через вторую уязвимость, CVE-2025-20234, злоумышленник может отправить специально подготовленный UDF-файл, что приведёт к сбою процесса сканирования и ослаблению общей безопасности системы. Хотя уязвимость не предоставляет возможности удалённого выполнения кода, она может существенно повлиять на операционную деятельность, особенно в случаях, когда ClamAV используется в качестве основного средства защиты при работе с большими объёмами данных.

2023: Выявление уязвимостей CVE-2023-20032 и CVE-2023-20052

17 февраля 2023 года стало известно о том, что в бесплатном антивирусном пакете ClamAV компании Cisco были выявлены две опасные бреши. С их помощью злоумышленник может похитить любые файлы с компьютера жертвы или выполнить на нем произвольный код. Физический доступ к машине не понадобится – эксплуатировать «дыры» можно удаленно. Обе уязвимости обнаружил исследователь в области информационной безопасности Саймон Сканелл (Simon Scanell) из корпорации Google.

Как сообщалось, бреши закрыты специалистами Cisco в ClamAV версий 1.01, 0.150.3 и 0.103.8. Обновленные сборки программы можно загрузить с официального сайта проекта.

ClamAV

Первая из обнаруженных экспертами уязвимостей отслеживается под идентификатором CVE-2023-20032, ее опасность оценена экспертами в 9,8 балла из 10 возможных. Согласно информации, опубликованной на портале Cisco, брешь затрагивает парсер файлов формата HFS+.

Файлы формата HFS+ содержат образы диска на основе файловой системы HFS+ (Hierarchical File System Plus), разработанной Apple и применяемой в операционной системе macOS.

Для проверки такого образа на предмет наличия вредоносного ПО антивирусу необходимо его предварительно «распаковать», подобно тому как это происходит с архивами, к примеру, ZIP или RAR.

Парсер образов HFS+ ClamAV – модуль антивируса, который и отвечает за «распаковку» – содержит уязвимость, которая делает возможным выполнение злоумышленником произвольного кода.

Уязвимость вызвана ошибкой разработчиков, которые не предусмотрели проверку размера буфера в куче (heap), что позволяет атакующему записать в область за пределами буфера и вызвать выполнение кода с привилегиями процесса ClamAV или вызывать нештатную остановку самого процесса, тем самым приведя систему в состояние отказа в обслуживании (DoS condition).

Как поясняют в Cisco, для этого хакеру нужно доставить сформированный по особым правилам файл формата HFS+ на систему жертвы. Триггером начала атаки станет проверка антивирусом этого файла.

В блоге ClamAV упомянута и другая брешь – CVE-2023-20052 (опасность – 5,3 балла). Как и CVE-2023-20032, она имеет отношение к парсерсу и допускает утечку любых файлов на машине, к которым у процесса ClamAV имеется доступ. Однако на этот раз «виноват» парсер файлов образов формата DMG, который также в основном используется в операционной системе macOS. Атака начинается со «скармливания» антивирусу специально оформленного DMG-файла ^[1].

2007: Выкуп проекта

В 2007 г. проект был выкуплен у его ключевых разработчиков компанией Sourcefire, которая впоследствии – в 2013 г. – перешла под контроль Cisco.

Примечания