Se ha anunciado la aparición de una nueva versión de ClamAV que solventa varias vulnerabilidades, algunas que podrían ser explotadas por un atacante remoto para ejecutar código arbitrario o saltarse restricciones de seguridad y otras que podrían ser aprovechadas por un atacante local para ejecutar código arbitrario. Además se ha solucionado otra problema de seguridad de impacto desconocido.
ClamAV es un motor antivirus de código abierto muy popular en el mundo del software libre, empleado con frecuencia en servidores de correo derivados de UNIX a modo de defensa perimetral primaria.
* La primera vulnerabilidad está causada por un error de límites (off-by-one) que podría producirse si ClamAV procesa un archivo CAB comprimido con MS-ZIP que esté especialmente modificado. Un atacante remoto podría aprovechar este problema para ejecutar código arbitrario con los permisos del proceso objetivo.
* Otras vulnerabilidades están causadas porque la función cli_gentempfd() en libclamav/others.c hace uso de archivos temporales creados de una forma insegura. Esto podría ser explotado por un atacante local que conozca el nombre del archivo temporal para, aprovechando una condición de carrera, crear un enlace simbólico desde un archivo crítico del sistema a un nombre de archivo temporal, lo que causaría que ClamAV sobrescribiera el archivo enlazado.
* ClamAV no detecta de forma correcta los archivos codificados en Bse64-UU lo que provocaría que dichos archivos no pasaran por el escáner de seguridad de ClamAV.
* Se ha confirmado otra vulnerabilidad por la que un atacante local podría ejecutar Sigtool con la opción de decodificado utf16 (utf16-decode) para sobrescribir ciertos archivos en un sistema vulnerable.
* La última vulnerabilidad es de impacto desconocido y se debe a un fallo al procesar archivos comprimidos con bzip2.
Según el fabricante, las vulnerabilidades están confirmadas para las versiones anteriores a la 0.92.
Se recomienda actualizar a la versión 0.92 de Clam AntiVirus, que está disponible para su descarga desde la página web:
http://www.clamav.net/
pmolina@hispasec.com
Más información:
Clam AntiVirus Off-by-one Bug in Processing MS-ZIP Compressed CAB
Files Lets Remote Users Execute Arbitrary Code
http://www.securitytracker.com/alerts/2007/Dec/1019150.html
Clam AntiVirus bzip2 Vulnerability Has Unspecified Impact
http://www.securitytracker.com/alerts/2007/Dec/1019149.html
Full Disclosure: TK53 Advisory #2: Multiple vulnerabilities in ClamAV
http://seclists.org/fulldisclosure/2007/Dec/0625.html
