思科开源杀软ClamAV中存在严重的RCE漏洞
编译：代码卫士
该漏洞影响Clam 1.0.0及之前版本、0.105.1及之前版本以及0.103.7及之前版本。谷歌安全工程师 Simon Scannell 发现并报告了该漏洞。
思科发布安全公告指出，“该漏洞是因为缺少缓冲区大小检查造成的，可导致堆缓冲区溢出写后果。攻击者可向位于受影响设备上的ClamAV提交构造的HFS分区文件，利用该漏洞。”成功利用该漏洞可导致攻击者以与ClamAV扫描流程相同的权限运行任意代码或导致流程崩溃，从而导致拒绝服务条件。
思科表示如下产品易受攻击：
Secure Endpoint，即此前的AMP for Endpoint（Windows、macOS 和Linux）
Secure Endpoint Private Cloud，以及
Secure Web Appliance，即此前的Web Security Appliance
思科进一步确认称，该漏洞并不影响 Secure Email Gateway（即此前的Email Security Appliance）和Secure Email and Web Manager（即此前的Security Management Appliance） 产品。
思科还修复了ClamAV DMG文件解析器中的一个远程信息泄露漏洞（CVE-2023-20052，CVSS评分5.3），可遭远程未认证的攻击者利用。似鳄科指出，“该漏洞是因为启用XML实体替代造成的，该替代可导致XML外部实体注入。攻击者可向受影响设备上的ClamAV提交需扫描的构造的DMG文件，利用该漏洞。”
值得注意的是，CVE-2023-20052并不影响思科Secure Web Appliance。话虽如此，这两个漏洞均已在ClamAV 版本0.103.8、0.105.2以及1.0.1中修复。
另外，思科还修复了影响Nexus Dashboard 中的一个DoS漏洞（CVE-2023-20014，CVSS评分7.5）以及两个位于ESA和Secure Email and Web管理器中的提权漏洞和命令注入漏洞（CVE-2023-20009和CVE-2023-20075，CVSS评分均为6.5）。
热门开源软件ImageMagick中出现多个新漏洞
热门开源库 JsonWebToken 存在RCE漏洞，可引发供应链攻击
开源管理工具Cacti修复严重的IP欺骗漏洞
https://thehackernews.com/2023/02/critical-rce-vulnerability-discovered.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。