Codeschmuggel und Leistungsverweigerung bei ClamAV [SOLVED]

[Ralph]

LTS-Versionen 1.0.0 bis 1.0.4 als auch ClamAV 1.2.0 und 1.2.1
... die großen Linux-Distributionen haben jedoch noch nicht reagiert.
Details:
https://www.heise.de/news/Sicherheitslu ... 22674.html

[24unix]

... die großen Linux-Distributionen haben jedoch noch nicht reagiert.

heise rafft es einfach nicht, nicht stumpf auf die Versionen zu gucken …

Bullseye ist fixed, Bookworm wird sich nicht lange dauern.
https://security-tracker.debian.org/tra ... 2024-20290

[Jolinar]

heise rafft es einfach nicht, nicht stumpf auf die Versionen zu gucken …

Ich glaube nicht, daß deren beitragschreibende KI das schon beherrscht...

[Ralph]

Mag ja sein, dafür muß das Upgrade aber auch installiert sein ...
Clamav Release date February 7, 2024
https://blog.clamav.net/

sind die nuh in den Debian sourcen angekommen oder nicht?
https://metadata.ftp-master.debian.org/ ... _changelog

Bei buster kann ich mich jedenfalls nicht errinnern, das changelog ist momentan auch broken
https://packages.debian.org/de/buster/clamav-base

[24unix]

Mag ja sein, dafür muß das Upgrade aber auch installiert sein ...

Code: Select all

$ dpkg -l|grep clamav
ii  clamav                             0.103.10+dfsg-0+deb11u1               amd64        anti-virus utility for Unix - command-line interface
ii  clamav-base                        0.103.10+dfsg-0+deb11u1               all          anti-virus utility for Unix - base package
ii  clamav-daemon                      0.103.10+dfsg-0+deb11u1               amd64        anti-virus utility for Unix - scanner daemon
ii  clamav-freshclam                   0.103.10+dfsg-0+deb11u1               amd64        anti-virus utility for Unix - virus database update utility
ii  libclamav9:amd64                   0.103.10+dfsg-0+deb11u1               amd64        anti-virus utility for Unix - library

[Ralph]

schau mal:
https://tracker.debian.org/pkg/clamav

sieht für mich nicht danach aus dass der offizielle Developer Fix February 7, 2024 hier:
https://blog.clamav.net/
bereits in den Debian sourcen angekommen ist:
https://metadata.ftp-master.debian.org/ ... _changelog
https://metadata.ftp-master.debian.org/ ... _changelog

[Ralph]

Bullseye ist fixed, Bookworm wird sich nicht lange dauern.
https://security-tracker.debian.org/tra ... 2024-20290

Hast Recht Micha, bis auf Debian12 ist CVE-2024-20290 & CVE-2024-20328 fixed
https://security-tracker.debian.org/tra ... 2024-20328
https://security-tracker.debian.org/tra ... 2024-20290

dann hoffe ich auf ein schnelles Update für Debian12, ist etwas zu heftig da ist nicht viel Zeit zum abwarten ...

[Ralph]

Leider gibt es noch immer kein offizielles (debian) Update für Bookworm ...
und die .deb Packages direkt von Clamav installieren macht mit Sicherheit bei Debian später wieder Probleme.

Eine Alternative wäre noch Clamav aus den rspamd checks rauszunehmen bis ein Update released wurde.
Was meint ihr dazu, das sollte doch ausreichen oder?

Code: Select all

#  /etc/rspamd/local.d/antivirus.conf
enabled = false

[Ralph]

Leider gibt es noch immer kein offizielles (debian) Update für Bookworm ...
und die .deb Packages direkt von Clamav installieren macht mit Sicherheit bei Debian später wieder Probleme.

Eine Alternative wäre noch Clamav aus den rspamd checks rauszunehmen bis ein Update released wurde.
Was meint ihr dazu, das sollte doch ausreichen oder?

Code: Select all

#  /etc/rspamd/local.d/antivirus.conf
enabled = false

### edit ###
Ich habe jetzt die rspamd Virenprüfung für Emails deaktiviert, in den Logs finde ich keine Hinweise mehr darauf das Emails Clamav durchlaufen
z.b.

Code: Select all

added antivirus engine clamav -> CLAM_VIRUS

Code: Select all

tail -n 1000 /var/log/rspamd/rspamd.log | grep clamav 

auch im clamav log tut sich nichts mehr

Code: Select all

tail -n 1000 /var/log/clamav/clamav.log

also denke ich mal es sollte damit ausreichen ...
weiter darauf zu hoffen dass keine präparierten Mails ankommen wäre fahrlässig, jedenfalls kann es ja so nicht aktiv bleiben

[Ralph]

Seltsam ... wird das jetzt ignoriert oder wurden die CVE einfach vergessen?
https://security-tracker.debian.org/tra ... 2024-20328
https://security-tracker.debian.org/tra ... 2024-20290

[Blubby]

die Frage ist doch ob "VirusEvent"in der Config bei ner Keyhelp installation überhaupt aktiv ist. Ansonsten brauch mal da erstmal keine Sorge zu haben.

[Ralph]

die Frage ist doch ob "VirusEvent"in der Config bei ner Keyhelp installation überhaupt aktiv ist. Ansonsten brauch mal da erstmal keine Sorge zu haben.

Wenn Clamav nicht eingebunden ist im System bzw. in Rspamd dann stellt es vieleicht keine Sicherheitslücke dar ... (siehe oben)
Aber macht es dann noch Sinn wenn Clamav (debian12) installiert ist und wg. der CVEs besser nicht benutzt werden sollte?
Die maintainer haben das bestimmt vergessen und im oldstable wird es dann finally fixed

[Ralph]

meine Güte, heute gabs dann auch endlich mal das Update für bookworm