S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 16 février 2007
N° CERTA-2007-AVI-093-002
Affaire suivie par: CERT-FR
le 16 février 2007

Avis du CERT-FR

Objet: Multiples vulnérabilités dans ClamAV

Gestion du document

Référence CERTA-2007-AVI-093-002
Titre Multiples vulnérabilités dans ClamAV
Date de la première version 16 février 2007
Date de la dernière version 13 mars 2007
Source(s) Bulletins de sécurité iDefense 475 et 476 du 15 février 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité ;
  • déni de service à distance.

Systèmes affectés

  • ClamAV version 0.90RC1.1 et antérieures.

Résumé

Plusieurs vulnérabilités présentes dans ClamAV permettent à un utilisateur distant de contourner la politique de sécurité ou de réaliser un déni de service.

Description

Deux vulnérabilités ont été identifiées dans ClamAV :

  • un problème de libération de ressources lors de la validation de l'entête des fichiers de type cabinet (fichier CAB) peut permettre à une personne distante malintentionnée de réaliser un déni de service en bloquant toutes les ressources disponibles ;
  • un manque de validation d'un paramètre des entêtes MIME pourrait permettre à un utilisateur malveillant de contourner la politique de sécurité en modifiant des fichiers protégés de l'antivirus.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 février 2007
    version initiale ;
    le 21 février 2007
    ajout de la référence Mandriva ;
    le 13 mars 2007
    ajout des références Debian, SuSE et Gentoo.