Una vulnerabilità critica nell’antivirus open source ClamAV è a rischio di esecuzione di codice da remoto.
“Una falla nel motore di un software antivirus”, avverte Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “è estremamente pericolosa”, per molteplici motivi. Ecco quali e come proteggersi.
Indice degli argomenti
Vulnerabilità critica nell’antivirus open source ClamAV
I ricercatori Cisco hanno rilasciato un aggiornamento di sicurezza che avvisa di una falla critica nel motore dell’antivirus open source ClamAV che può essere suscettibile all’esecuzione di codice da remoto su dispositivi a rischio.
I motivi per cui il bug è pericoloso sono molteplici, secondo Paganini, “in primis perché residente in componenti che dovrebbero essere deputati alla difesa di un sistema, ed in secondo luogo perché queste componenti per operare dispongono dei massimi privilegi e quindi una loro compromissione apre le porta a qualunque operazione da parte di un attaccante”.
La vulnerabilità è stata tracciata come CVE-2023-20032 (etichettata con score CVSS: 9.8) e si riferisce a un caso di esecuzione di codice da remoto nella component del file analizzatore HFS+.
“La vulnerabilità nello specifico è molto pericolosa”, conclude Paganini, “in quanto potrebbe consentire a un attaccante di eseguire codice malevolo sul sistema che utilizza il software vulnerabile portando quindi alla sua completa compromissione. Altro fattore che rende questa falla estremamente severa è la semplicità con la quale la stessa può essere sfruttata in un attacco“.
La falla affligge la versione 1.0.0 e precedenti, 0.105.1 e precedenti, e 0.103.7 e precedenti. L’ingegnere della sicurezza di Google, Simon Scannell, ha scoperto e riportato il bug.
“Questa vulnerabilità è da attribuire al controllo della dimensione del buffer mancante che può causare un grave buffer overflow,” riporta Cisco Talos in un advisory. “Un attaccante può sfruttare la vulnerabilità attraverso un file di partizione HFS+, creato ad arte per passare alla scansione di ClamAV su dispositivi a rischio”.
L’exploit della falla può consentire ad un avversario di eseguire codice arbitrario con gli stessi privilegi del processo di scansione di ClamAV, o mandare in crash il processo come in un Denial of Service (DoS).
Come proteggersi
Per difendersi occorre effettuare l’aggiornamento costante di software, sistemi operativi e web app, per impedire agli attaccanti di sfruttare falle pericolose.
Inoltre, le best practice suggeriscono di utilizzare i prodotti di vendor che rilasciano tempestivamente patch e update di sicurezza.
