Cisco представила версия свободного антивирусного инструментария ClamAV 1.5.4

7 августа 2026 года Cisco представила версия свободного антивирусного инструментария ClamAV 1.5.4 и ClamAV 1.4.6 (ветка ClamAV 1.4 является проектом с долгосрочной поддержкой — LTS). Стабильная релиз проекта ClamAV 1.5.0 вышла в октябре 2025 года.

Решение ClamAV перешло в управление Cisco в 2013 году после покупки компании Sourcefire, развивающей решения ClamAV и Snort.

Сборки ClamAV доступны для ПК на Windows, Linux и macOS

Исходник проекта ClamAV написан на C, C++ и Rust и распространяется на GitHub под лицензией GPLv2. Релиз решения 1.5.0 отнесена к категории обычных (не LTS), обновления к которым публикуются как минимум в течение четырёх месяцев после выхода первого релиза следующей ветки. Функция загрузки базы сигнатур для не-LTS веток также обеспечивается как минимум ещё четыре месяца после выпуска следующей ветки.

Основные изменения и дополнения в ClamAV 1.5.4:

• исправлены ранее обнаруженные ошибки и баги, включая:

  • CVE-2026-20337: исправлена ​​ошибка отслеживания ёмкости каталога ZIP, которая могла приводить к записи за пределы выделенной в куче области при индексировании заголовков локальных файлов;

  • CVE-2026-20345: исправлена ​​ошибка индексирования при преобразовании имён разделов GPT, которая могла приводить к чтению или записи за пределы выделенной в стеке записи раздела;

  • CVE-2026-20339: исправлено переполнение целочисленного типа в распаковщике PESpin, которое могло привести к выделению буфера недостаточного размера и последующей записи за его пределы при перестроении PE-файла;

  • CVE-2026-20338: исправлена ​​обработка прав собственности при слиянии записей каталога ZIP, которая могла привести к недопустимому освобождению памяти при сканировании некорректно сформированного архива;

  • CVE-2026-20346: исправлено переполнение целочисленного типа в парсере PDF, которое могло привести к сбою при чтении некорректной шестнадцатеричной строки;

  • CVE-2026-20347: исправлено неопределённое поведение и переполнение целочисленного типа в парсере Mach-O, которые могли привести к сбою при сканировании некорректного файла Mach-O;

  • CVE-2026-20348: исправлена ​​обработка размера парсера XAR, которая могла запрашивать чрезмерное выделение памяти или превышать лимиты сканирования при декомпрессии некорректного оглавления;

  • CVE-2025-8088: в библиотеку UnRAR, входящую в состав ClamAV, включено исправление из проекта UnRAR. Исправление отклоняет разделители путей в альтернативных именах потоков данных NTFS, чтобы предотвратить извлечение за пределы временного каталога сканирования ClamAV в Windows.

• исправлены проблемы потокобезопасности в команде clamd STATS, которые могли раскрыть память процесса или привести к сбою демона при одновременном выполнении сканирования и запросов STATS. Также исправлена ​​частичная обработка записи в сокет, используемая для больших ответов STATS;

• FreeBSD: Восстановлена ​​сопровождение безопасных действий перемещения и удаления из карантина с сохранением защиты от состояний гонки при замене пути к исходному коду;

• исправлена ​​утечка контекста библиотеки OpenSSL в устаревших вспомогательных функциях хеширования, когда запрошенный дайджест сообщения не может быть получен, например, когда поставщик по умолчанию недоступен в среде с поддержкой FIPS;

• обновлена ​​зависимость Rust crossbeam-epoch для решения проблемы, указанной в уведомлении RUSTSEC-2026-0204.