Divulgação e impacto das falhas
A Cisco divulgou múltiplas vulnerabilidades de alta severidade no ClamAV que poderiam permitir que atacantes remotos não autenticados interrompam as operações de varredura antivírus e causem condições de negação de serviço. As falhas afetam os analisadores ClamAV usados pelo Cisco Secure Endpoint Connector no Windows, Linux e macOS. O advisory, rastreado como cisco-sa-clamav-WuuvVd26, foi publicado pela primeira vez em 7 de agosto de 2026 e atualizado em 10 de agosto.
A Cisco atribuiu uma classificação de impacto de segurança High para sistemas Windows afetados, enquanto ambientes Linux e macOS receberam uma classificação Medium. A empresa disse que a diferença se deve ao contexto de segurança privilegiado usado pelo processo de varredura ClamAV em dispositivos Windows. A exploração bem-sucedida poderia terminar o processo de varredura ClamAV, interrompendo a detecção de malware e criando uma condição de negação de serviço.
Detalhamento técnico dos CVEs
As vulnerabilidades incluem CVE-2026-20337, CVE-2026-20338, CVE-2026-20339, CVE-2026-20345, CVE-2026-20346, CVE-2026-20347 e CVE-2026-20348. A maioria carrega uma pontuação CVSS de 7,5 e pode ser explorada remotamente sem autenticação ou interação do usuário.
O CVE-2026-20337 é uma vulnerabilidade de escrita fora dos limites no analisador de arquivo ZIP do ClamAV. Um atacante poderia enviar um arquivo ZIP especialmente elaborado para um sistema vulnerável para varredura. A validação de limite inadequada poderia então causar a falha do processo do scanner. O CVE-2026-20338 também afeta o processamento de arquivos ZIP, mas é causado por manipulação inadequada de memória. Um arquivo elaborado poderia desencadear uma condição de double-free, terminando o mecanismo de varredura.
Outra questão, CVE-2026-20339, afeta o analisador de formato de arquivo PESpin. A falha resulta de verificações de limite insuficientes, o que poderia levar a um transbordamento de inteiro durante a varredura de arquivos. A Cisco alertou que essa questão poderia causar um ataque de negação de serviço e pode ter efeitos mais amplos devido à corrupção de memória.
As vulnerabilidades restantes afetam analisadores GPT, PDF, Mach-O e XAR. O CVE-2026-20345 envolve uma conversão de endian inadequada ao processar arquivos GPT, o que pode levar a uma escrita de buffer fora dos limites. O CVE-2026-20346 e o CVE-2026-20347 afetam o processamento de PDF e Mach-O, respectivamente, permitindo leituras de buffer fora dos limites. O CVE-2026-20348 afeta o manuseio de arquivo XAR e é causado por verificações de limite inadequadas.
Vetores de ataque e entrega
Todas as falhas podem ser acionadas quando o ClamAV varre arquivos controlados por atacantes. Isso torna anexos de e-mail, arquivos compactados baixados, documentos compartilhados e arquivos submetidos por meio de aplicativos web possíveis caminhos de entrega, dependendo de como o ClamAV é implantado. A Cisco disse que as vulnerabilidades são independentes, o que significa que a exploração de uma falha não é necessária para explorar outra.
O Cisco Secure Endpoint Connector para Windows é o produto mais impactado porque o scanner é executado em um contexto privilegiado. O Secure Endpoint Connector para Linux e Mac também é afetado, embora seu processo de varredura de menor privilégio reduza o impacto de segurança. O Cisco Secure Endpoint Private Cloud não é diretamente vulnerável, mas as organizações devem distribuir software de conector atualizado para endpoints protegidos.
Medidas de mitigação e correção
A Cisco confirmou que não há workarounds disponíveis. Os clientes devem aplicar as versões corrigidas do Cisco Secure Endpoint Connector através do portal Secure Endpoint quando estiverem disponíveis. Os clientes do Private Cloud devem garantir que estão executando a versão 4.2.8 ou posterior para receber software de conector atualizado por meio de processos normais de atualização de conteúdo.
A Cisco PSIRT está ciente de código de prova de conceito de exploit público para CVE-2026-20337 e CVE-2026-20338. No entanto, a empresa disse que não observou exploração maliciosa de nenhuma dessas vulnerabilidades na natureza. A prioridade deve ser a atualização dos conectores para mitigar o risco de interrupção dos serviços de segurança.
Implicações operacionais
A negação de serviço em sistemas de varredura antivírus pode deixar as organizações expostas a malware não detectado. A interrupção do serviço de segurança é um risco operacional significativo que pode comprometer a postura de segurança geral. A gestão de patches deve ser priorizada para garantir a continuidade das operações de segurança.