Ciscoは、複数のClamAVメモリ破損脆弱性により、認証されていないリモート攻撃者が影響を受けるCisco Secure Endpoint Connectorインストール環境上でのスキャン処理を妨害できる可能性があると警告しました。
アドバイザリcisco-sa-clamav-WuuvVd26で公開されたこれらの脆弱性は、ClamAVエンジンを使用してファイルを検査するWindows、Linux、macOSのエンドポイントに影響します。悪用に成功すると、ClamAVのスキャンプロセスが終了させられる可能性があります。
Ciscoは影響を受けるWindows用コネクタに「高」の影響度評価とCVSS基本値7.5を割り当てました。Windowsの評価が高くなっているのは、スキャンプロセスが特権的なコンテキストで実行されるためです。
LinuxおよびmacOS用コネクタについては、スキャンプロセスがより低い権限で動作するため「中」の評価となっています。とはいえ、プラットフォームを問わずリスクは依然として重大です。
攻撃者は認証を必要とせず、ユーザーにファイルを開かせる必要もなく、影響を受けるパーサーを悪用できます。悪意のあるオブジェクトは、電子メールでの配送、ダウンロード、共有ストレージ、Web経由の転送、自動ファイル取り込みなど、コネクタが監視するパスに到達しさえすればよいのです。
CVE-2026-20337は、ClamAVがアーカイブコンテンツを処理する際の境界チェック不足に起因する、ZIPアーカイブパーサーの境界外書き込みです。
同じくZIP処理に関わるCVE-2026-20338は、不適切なメモリ管理に起因し、二重解放(double-free)状態を引き起こす可能性があります。Ciscoによれば、この2つの脆弱性については概念実証(PoC)コードが既に公開されており、迅速なパッチ適用が求められます。
CVE-2026-20339はPESpinファイル処理を標的としたもので、整数オーバーフローに起因します。GPT解析に関するCVE-2026-20345は、エンディアン変換の不適切な処理に起因し、境界外バッファ書き込みにつながる可能性があります。
さらに3件のバグが、PDF、Mach-O、XARの各解析処理に影響します。細工されたファイルをスキャンする際、境界外読み取りやメモリ破損を引き起こす可能性があります。
Ciscoは主にサービス拒否(DoS)という結果を挙げていますが、いくつかのバグは特権的なスキャンコンポーネント内でメモリを破損させるため、より広範な影響をもたらす可能性も考えられます。
このアドバイザリでは、リモートコード実行が確認されたとは述べられていません。それでも、エンドポイントセキュリティチームは、特にスキャンの可用性が防御において不可欠な環境では、不正な形式の文書やアーカイブをリスクとして扱うべきです。
サービスの中断は、単発のクラッシュにとどまらないセキュリティ上の影響を及ぼす可能性があります。悪意のあるファイルの評価中にエンドポイントのスキャナーが終了してしまうと、復旧するまで検査が遅延したり利用できなくなったりする恐れがあります。
攻撃者は細工したファイルを使って繰り返し障害を発生させ、可視性を低下させると同時に、防御側に見かけ上の信頼性問題の調査を強いる可能性があります。
Secure Endpoint Private Cloud自体は直接の影響を受けないとCiscoは述べています。ただし、その環境からエンドポイントに配布されるコネクタソフトウェアは、更新されるまで脆弱なままです。
バージョン4.2.8以降を実行しているPrivate Cloud環境では、Ciscoが修正版をリリースし次第、修正済みのエンドポイントソフトウェアがサポートされる予定です。組織はコネクタのバージョン、ポリシー、展開状況を確認する必要があります。
Ciscoは、これらの脆弱性が実際の攻撃で悪用されたとの報告はないとしています。とはいえ、CVE-2026-20337とCVE-2026-20338については公開されたPoCコードが存在することを認識しておくことが重要です。
セキュリティチームは、予期しないClamAVプロセスのクラッシュ、スキャンサービスの繰り返しの再起動、エンドポイント全体にわたるZIPアーカイブや不正な形式のファイルの不審な配送を監視すべきです。
管理者はWindowsシステムを優先的に対応し、該当する場合はコネクタの自動更新が有効になっていることを確認したうえで、修正版がリリースされ次第速やかに展開すべきです。それまでの間は、信頼できないファイルに対して厳格な制御を適用することで、リスクを低減できます。
ANY.RUNのブラウザ内データ検査で、より高速な検知・調査・対応を実現。フィッシングの完全な可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/clamav-memory-corruption-bugs/
