Il est toujours ennuyeux qu'un programme censé assurer la sécurité de son ordinateur connaisse des fuites, failles, trous et autres brèches. ClamAV, antivirus gratuit bien connu des non adorateurs de Norton, Kaspersky et autres McaFee, vient de subir ce triste sort.

Trois trous ont été trouvés dans sa carlingue open source par Neel Mehta et Alex Wheeler, mineurs en sécurité de la société ISS. Les conséquences ? Ils évoquent un déni de service voire l'accès au système vulnérable à distance. Des maux suffisamment graves pour obtenir une labellisation "Highly critical" chez Secunia, gros labo de sécurité, d'autant plus que l'outil est implanté au sein de nombreuses solutions.

Dans leurs éprouvettes, les chercheurs d'ISS ont donc trouvé plusieurs erreurs dans la gestion des types de fichiers utilisés par ClamAv. C'est notamment un cas de débordement de mémoire avec les fichiers TNEF, CHM, FSG, des attaques qui peuvent se faire sans l'interaction de l'utilisateur, du seul fait de la réception d'un mail contenant des données volontairement malformées.

Les vulnérabilités ont été identifiées versions 0.86.1 et précédentes et la solution consistera à s'offrir un visa pour celle estampillée 0.86.2, sur cette page ou celle-ci. Les curieux pourront se plonger dans ce fichier pdf pour y trouver quelques détails techniques.