Ciscoは、ClamAVに存在する脆弱性7件を公表しました。深刻度は「高」で、認証されていない遠隔の攻撃者が特別に細工したファイルを送り込むことで、アンチウイルススキャンを妨害できる可能性があります。
これらの脆弱性はCVE-2026-20337、CVE-2026-20338、CVE-2026-20339、CVE-2026-20345、CVE-2026-20346、CVE-2026-20347、CVE-2026-20348として追跡されており、CVSSスコアは最大で7.5が割り当てられています。
Vulnerabilityassessment service
ClamAVの脆弱性
これらの問題は、8月7日に公開され8月10日に更新されたCiscoのアドバイザリ「cisco-sa-clamav-WuuvVd26」で詳しく説明されています。Ciscoによると、これらの脆弱性が悪用された場合、ClamAVのスキャン処理が中断され、サービス拒否(DoS)状態に陥る可能性があるとしています。
重要な点として、これら7件の脆弱性は互いに独立しており、対象のパーサーがスキャンワークフロー中にアクセス可能な状態であれば、攻撃者はそれぞれの問題を個別にトリガーできます。
7件の脆弱性はいずれも、攻撃者が制御可能なコンテンツの安全でない解析処理に起因しています。CVE-2026-20337は、境界チェックが不十分なことによるZIPアーカイブ処理時の境界外書き込みに関するものです。
CVE-2026-20338は、メモリ処理の不備が原因でZIPパーサーに発生する二重解放(double-free)エラーに関するものです。いずれの脆弱性も悪意あるZIPファイルによってトリガー可能で、概念実証(PoC)のエクスプロイトコードが公開されています。
CVE-2026-20339はPESpinパーサーに影響し、境界検証が不十分なため整数オーバーフローが発生し、その後メモリ破損につながる恐れがあります。CVE-2026-20345は、GPT解析処理におけるエンディアン変換の不具合が原因で、境界外バッファ書き込みが発生します。
CVE-2026-20346とCVE-2026-20347は、それぞれPDF解析処理とMach-O解析処理で発生する境界外読み取りの欠陥です。最後に、CVE-2026-20348はXAR処理に影響し、細工されたXARファイルを含むファイルをスキャンする際にメモリ破損を引き起こす可能性があります。
Ciscoは、これらの脆弱性の一部について、メモリ破損に起因する「その他の拡大した影響」が生じる可能性があると指摘しています。ただし、アドバイザリでは、主な結果はサービス拒否であると確認されています。
- CVE-2026-20337 – ClamAVのZIPパーサーにおける境界外書き込みの脆弱性。細工されたZIPファイルによりスキャン処理がクラッシュし、サービス拒否を引き起こす可能性があります。CVSS: 7.5(高)
- CVE-2026-20338 – ClamAVのZIPパーサーにおける二重解放によるメモリ破損の脆弱性。悪意あるZIPコンテンツによりスキャン処理が終了する可能性があります。CVSS: 7.5(高)
- CVE-2026-20339 – ClamAVのPESpinパーサーにおける整数オーバーフローの脆弱性。細工されたPESpinファイルによりメモリ破損とサービス拒否がトリガーされる可能性があります。CVSS: 7.5(高)
- CVE-2026-20345 – エンディアン変換の不備に起因する、ClamAVのGPTパーサーにおける境界外バッファ書き込みの脆弱性。細工されたGPTファイルによりスキャン処理が妨害される可能性があります。CVSS: 7.5(高)
- CVE-2026-20346 – ClamAVのPDFパーサーにおける境界外バッファ読み取りの脆弱性。悪意あるPDFによりメモリ破損が発生し、スキャナーがクラッシュする可能性があります。CVSS: 7.5(高)
- CVE-2026-20347 – ClamAVのMach-Oパーサーにおける境界外バッファ読み取りの脆弱性。細工されたMach-Oファイルによりアンチウイルススキャンが終了する可能性があります。CVSS: 7.5(高)
- CVE-2026-20348 – ClamAVのXARパーサーにおけるメモリ破損の脆弱性。悪意あるXARファイルを含むファイルによりスキャンエンジンがクラッシュし、サービス拒否を引き起こす可能性があります。CVSS: 7.5(高)
ベンダーはまた、現時点で悪意ある悪用は確認されていないとしています。公開されているPoCエクスプロイトは、CVE-2026-20337とCVE-2026-20338についてのみ存在します。
これらの脆弱性は、Windows、Linux、macOS上のCisco Secure Endpoint Connectorのインストール環境に影響します。Windows環境では、ClamAVのスキャン処理が特権的なセキュリティコンテキストで動作するため、Ciscoセキュリティ影響度評価は「高」とされています。
Securityconsulting services
これに対し、LinuxとmacOSではスキャン処理がより低い権限で実行されるため、評価は「中」とされています。Cisco Secure Endpoint Private Cloud自体は直接の脆弱性の対象ではありませんが、同サービスが配布するエンドポイントコネクタは影響を受けます。
現時点で回避策はありません。Ciscoは3つのOSすべてに向けて更新版のSecure Endpoint Connectorを準備中で、リリース番号は未定ながら、2026年8月中のリリースを見込んでいます。Private Cloudバージョン4.2.8以降では、更新版のエンドポイントソフトウェアがリリースされ次第、その配布に対応します。
セキュリティチームは、公開状態にあるコネクタのバージョンを特定し、Windowsエンドポイントの更新を優先すべきです。更新版コネクタが利用可能になり次第、Secure Endpointポータル経由、あるいは通常のPrivate Cloudコンテンツ更新プロセスを通じて速やかに導入する必要があります。
パッチが適用されるまでの間、組織は、スキャン対象として送信される信頼できないアーカイブファイル、PDF、ディスクイメージ、実行可能ファイルを可用性リスクとして扱うべきです。特にメールゲートウェイ、ファイルアップロードサービス、自動マルウェア解析パイプラインにおいてはその点に注意が必要です。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。世界中の1万5千のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/clamav-vulnerabilities/
