ClamAV 1.5.4 устраняет восемь уязвимостей в популярном антивирусе с открытым исходным кодом
Разработчики ClamAV выпустили версию 1.5.4 - очередное важное обновление безопасности для популярного антивирусного движка с открытым исходным кодом. Новый релиз закрывает сразу восемь уязвимостей CVE, затрагивающих обработку ZIP-архивов, PDF-документов, Mach-O-бинарников, XAR-пакетов, файлов PE и распаковщик UnRAR.
Большинство исправлений связано с компонентами, которые анализируют содержимое файлов и архивов. Именно такие модули традиционно считаются одной из наиболее критичных частей антивирусного ПО: ошибка в парсере может привести к аварийному завершению процесса, чрезмерному расходу памяти или потенциальному выполнению нежелательных операций.
Одной из наиболее заметных проблем стала CVE-2026-20337. Ошибка в отслеживании ёмкости каталога ZIP могла привести к записи за пределами выделенной области памяти кучи при индексации локальных заголовков файлов. Ещё одна уязвимость, CVE-2026-20338, была обнаружена в механизме объединения записей ZIP-каталога и связана с некорректной обработкой права собственности.
Исправление CVE-2026-20345 касается преобразования имён GPT-разделов. Некорректная индексация могла спровоцировать чтение или запись за границами объекта, размещённого в стеке. Кроме того, разработчики устранили более старую проблему CVE-2026-20339 в распаковщике PESpin.
Отдельное внимание уделено PDF-парсеру. Уязвимость CVE-2026-20346 представляла собой целочисленное переполнение вниз при обработке повреждённой шестнадцатеричной строки внутри PDF-файла. В определённых условиях это могло вызвать сбой ClamAV во время сканирования документа.
В модуле анализа Mach-O устранена CVE-2026-20347, связанная с неопределённым поведением и целочисленным переполнением. Ещё одна проблема, CVE-2026-20348, затрагивала поддержку формата XAR. При распаковке повреждённого оглавления программа могла попытаться выделить чрезмерно большой объём памяти или превысить установленные ограничения сканирования.
Восьмая уязвимость - CVE-2025-8088 - исправлена благодаря интеграции актуального патча из проекта UnRAR в библиотеку, поставляемую вместе с ClamAV. Это особенно важно для систем, где антивирус автоматически проверяет архивы, полученные из электронной почты, загруженные из интернета или размещённые на файловых серверах. Подробный перечень изменений опубликован в материале о ClamAV 1.5.4 и устранении восьми уязвимостей.
Помимо исправлений CVE, разработчики устранили проблемы потокобезопасности команды STATS в службе clamd. При одновременном выполнении проверок и запросов статистики ошибка могла раскрыть содержимое памяти процесса или привести к аварийному завершению демона. Также была улучшена обработка частичных записей в сокет при передаче больших ответов STATS.
Пользователи FreeBSD получили восстановленную возможность безопасно перемещать и удалять файлы, помещённые в карантин. При этом сохранены меры защиты от атак, связанных с подменой исходного пути во время операции. Такая защита особенно важна для многопользовательских серверов и систем, где антивирус работает с файлами, доступными разным процессам.
В состав релиза вошло и обновление зависимости Rust crossbeam-epoch. Новая версия устраняет проблему, описанную в рекомендации RUSTSEC-2026-0204, повышая общий уровень безопасности компонентов, используемых в проекте.
Одновременно с веткой 1.5 разработчики выпустили ClamAV 1.4.6 для пользователей, которые пока не готовы переходить на новую основную версию. Этот выпуск закрывает шесть из восьми уязвимостей, исправленных в ClamAV 1.5.4, а также включает исправления для clamd STATS, карантина в FreeBSD, библиотеки UnRAR и зависимости Rust.
Тем, кто планирует ClamAV 1.5.4 скачать, рекомендуется использовать официальный раздел загрузок проекта или проверенные релизы на GitHub. Для серверных сред дополнительно публикуются обновлённые Docker-образы на базе Alpine и Debian. Перед обновлением в production-системах стоит проверить совместимость конфигурации, расположение базы сигнатур и параметры службы clamd.
Обновление особенно актуально для почтовых шлюзов, файловых серверов, CI/CD-инфраструктуры и рабочих станций, где ClamAV применяется как защита от вирусов для Linux. Хотя антивирусный движок не заменяет комплексные средства контроля доступа и мониторинга, своевременная установка патчей снижает риск эксплуатации специально сформированных файлов.
В целом ClamAV 1.5.4 можно считать обязательным техническим обновлением для всех пользователей ветки 1.5. Если требуется ClamAV антивирус скачать бесплатно, достаточно обратиться к официальным каналам проекта и выбрать пакет для нужного дистрибутива. Формулировка "ClamAV 1.5.4 обновление безопасности" наиболее точно отражает характер выпуска: он не добавляет масштабных пользовательских функций, но заметно укрепляет надёжность сканирования.
Регулярные обновления также являются практичным способом поддерживать ClamAV устранение уязвимостей CVE на актуальном уровне. Администраторам рекомендуется обновить антивирусный движок, перезапустить clamd, проверить журналы и убедиться, что базы вирусных сигнатур загружаются без ошибок.
