Algunas de las vulnerabilidades podrían ser explotadas por un atacante remoto para ejecutar código arbitrario o saltarse restricciones de seguridad y otras que podrían ser aprovechadas por un atacante local para ejecutar código arbitrario. Además se ha solucionado otro problema de seguridad de impacto desconocido.
ClamAV es un motor antivirus de código abierto muy popular en el mundo del software libre, empleado con frecuencia en servidores de correo derivados de UNIX a modo de defensa perimetral primaria.
* La primera vulnerabilidad está causada por un error de límites (off-by-one) que podría producirse si ClamAV procesa un archivo CAB comprimido con MS-ZIP que esté especialmente modificado. Un atacante remoto podría aprovechar este problema para ejecutar código arbitrario con los permisos del proceso objetivo.
* Otras vulnerabilidades están causadas porque la función cli_gentempfd() en libclamav/others.c hace uso de archivos temporales creados de una forma insegura. Esto podría ser explotado por un atacante local que conozca el nombre del archivo temporal para, aprovechando una condición de carrera, crear un enlace simbólico desde un archivo crítico del sistema a un nombre de archivo temporal, lo que causaría que ClamAV sobrescribiera el archivo enlazado.
* ClamAV no detecta de forma correcta los archivos codificados en Bse64-UU lo que provocaría que dichos archivos no pasaran por el escáner de seguridad de ClamAV.
* Se ha confirmado otra vulnerabilidad por la que un atacante local podría ejecutar Sigtool con la opción de decodificado utf16 (utf16-decode) para sobrescribir ciertos archivos en un sistema vulnerable.
* La última vulnerabilidad es de impacto desconocido y se debe a un fallo al procesar archivos comprimidos con bzip2.
Según el fabricante, las vulnerabilidades están confirmadas para las versiones anteriores a la 0.92.
Se recomienda actualizar a la versión 0.92 de Clam AntiVirus, que está disponible para su descarga desde la página web: http://www.clamav.net/.
Pablo Molina (Hispasec)
Los usuarios denunciaban que la compañía los había rastreado incluso cuando usaban el modo privado…
El Instituto Valenciano de Competitividad Empresarial financiará aquellas iniciativas que puedan solucionar incertidumbres científicas o…
Solo en el cuarto trimestre las empresas emergentes del país han levantado 1.500 millones de…
La región tiene 13 scaleups y destaca por sus empresas emergentes de salud y agrotech.
Valencia ha atraído en el primer semestre del año 30 millones de euros de inversión…
El diario estadounidense demanda a las dos compañías tecnológicas por haber usado sus contenidos para…