Cisco warnt vor zwei ClamAV-Schwachstellen mit öffentlichen Exploits

Zusammenfassung

Cisco warnt vor zwei hoch eingestuften Schwachstellen in ClamAV, die den Secure Endpoint Connector betreffen und sich für Denial-of-Service-Angriffe ausnutzen lassen. Die Lücken werden als CVE-2026-20337 und CVE-2026-20338 geführt und stecken laut Cisco im ZIP-Archiv-Parser von ClamAV, der quelloffenen und plattformübergreifenden Engine zur Malware-Prüfung von Dateien. Nach Angaben des Cisco Product Security Incident Response Team (PSIRT) können nicht authentifizierte Angreifer die Fehler aus der Ferne ausnutzen. Dazu reicht es, eine speziell präparierte ZIP-Datei zur Analyse einzureichen. Gelingt der Angriff, kann der ClamAV-Scan-Prozess beendet werden, was auf der betroffenen Software zu einem DoS-Zustand führt. Cisco weist zudem darauf hin, dass bereits öffentlich verfügbarer Proof-of-Concept-Code für beide Schwachstellen existiert. Hinweise auf eine aktive Ausnutzung in freier Wildbahn liegen dem Unternehmen nach eigenen Angaben jedoch nicht vor. Besonders relevant ist der Sicherheitsaspekt laut Cisco auf Windows-Systemen, weil dort der ClamAV-Scan-Prozess in einem privilegierten Sicherheitskontext läuft.

Die beiden Schwachstellen CVE-2026-20337 und CVE-2026-20338 gehen laut Cisco auf fehlerhafte Grenzprüfungen beziehungsweise unsachgemäße Speicherbehandlung zurück. Beide Fehler betreffen den ZIP-Parser von ClamAV. Ein Angreifer muss sich dafür nicht authentifizieren und kann den Angriff aus der Ferne auslösen, indem er eine manipulierte ZIP-Datei zum Scannen einspeist.

Cisco beschreibt die Folge klar: Der ClamAV-Scan-Prozess kann dadurch beendet werden. Das führt zu einem Denial-of-Service auf der betroffenen Software. Das PSIRT des Unternehmens teilte außerdem mit, dass Proof-of-Concept-Exploit-Code für die in CVE-2026-20337 und CVE-2026-20338 beschriebenen Schwachstellen bereits öffentlich verfügbar ist. Zugleich erklärt Cisco, es gebe bislang keine Belege für eine Ausnutzung in realen Angriffen.

Der Hersteller hebt hervor, dass die Auswirkungen auf Windows-Plattformen als hoch eingestuft werden, weil nur dort der ClamAV-Scan-Prozess in einem privilegierten Sicherheitskontext ausgeführt wird. Betroffen sind ClamAV-Versionen 1.5.0 bis 1.5.3. Behoben wurden die beiden Fehler in ClamAV 1.5.4, das am 7. August veröffentlicht wurde.

Für CVE-2026-20337 und CVE-2026-20338 gibt es laut Cisco keine Workarounds. Das Unternehmen kündigte jedoch an, im weiteren Verlauf dieses Monats Software-Updates bereitzustellen, die die Schwachstellen in betroffenen Versionen des Secure Endpoint Connector für Windows, Linux und Mac beheben sollen.

Ebenfalls am Freitag schloss Cisco nach eigenen Angaben fünf weitere ClamAV-Sicherheitslücken. Auch diese lassen sich demnach zur Auslösung von Denial-of-Service-Zuständen missbrauchen, wenn präparierte XAR-, Mach-O-, PDF-, GPT- oder PESpin-Dateien zur Prüfung eingereicht werden.

Bereits im Januar 2025 hatte Cisco eine weitere ClamAV-DoS-Schwachstelle mit öffentlich verfügbarem Proof-of-Concept-Code behoben. Damals warnte das Unternehmen, Angreifer könnten den ClamAV-Antiviren-Scanner dadurch beenden und so weitere Scan-Vorgänge verhindern oder verzögern.

Der Quelltext verweist außerdem darauf, dass die US-Behörde CISA seit November 2021 insgesamt 95 Cisco-Schwachstellen als aktiv in Angriffen ausgenutzt markiert hat. Sechs davon wurden demnach in Ransomware-Angriffen missbraucht.

Cisco warnt vor zwei ClamAV-Schwachstellen mit öffentlichen Exploits

Ähnliche Artikel

Neueste Artikel