Cisco a averti que plusieurs ClamAV kwetsbaarheden affectent ses produits Secure Endpoint Connector sur Windows, macOS et Linux. Au total, sept vulnérabilités ont été identifiées, avec un impact pouvant aller jusqu’à des situations de déni de service (DoS). Certaines d’entre elles disposent en plus de codes de preuve de concept (PoC) publiquement disponibles.
Dans ce contexte, Cisco précise que les correctifs ont déjà été intégrés à une version de ClamAV, et que ses clients doivent appliquer les mises à jour prévues pour l’ensemble des composants concernés.
Qu’est-ce que ClamAV et pourquoi ces failles comptent ?
ClamAV (Clam AntiVirus) est un moteur de détection de logiciels malveillants open source, portable sur plusieurs systèmes. Il s’appuie sur un scanner virtuel multithread et propose des fonctions comme le filtrage d’e-mails et la mise à jour automatique des bases de données.
Les vulnérabilités annoncées par Cisco portent sur les analyseurs (parsers) de ClamAV pour différents formats de fichiers. Autrement dit, le risque survient lors du traitement de contenus tels que des archives ou documents potentiellement piégés.
Les vulnérabilités : formats de fichiers visés et CVE concernés
Les défauts de sécurité sont répertoriés sous plusieurs identifiants CVE : CVE-2026-20337 à CVE-2026-20339 et CVE-2026-20345 à CVE-2026-20348. Selon Cisco, ces problèmes ont été découverts dans les parsers de ClamAV pour les formats suivants :
- ZIP
- GPT
- PESpin
- Mach-O
- XAR
La conséquence générale mentionnée est la possibilité de provoquer des conditions de déni de service, ce qui peut perturber le processus de scan et dégrader la disponibilité du service de détection.
Preuve de concept publique et absence de contournement
Cisco indique qu’après le déploiement des correctifs côté ClamAV, un avis a été publié : des codes PoC visant certains identifiants, dont CVE-2026-20337 et CVE-2026-20338, existeraient et seraient accessibles publiquement.
Autre point important pour l’évaluation du risque : aucun contournement n’est mentionné pour l’une des vulnérabilités. En clair, la mitigation recommandée passe principalement par le déploiement des correctifs.
Quand appliquer les correctifs : ClamAV 1.5.4 et déploiement en août
D’après l’annonce, les correctifs des bugs ont été inclus dans ClamAV version 1.5.4. Cette version contient également une correction liée à une faiblesse de path traversal dans WinRAR sur Windows, susceptible de conduire à une exécution de code arbitraire.
Cisco précise ensuite que des mises à jour de sécurité corrigeant ces problèmes seront déployées en août pour tous les produits Secure Endpoint Connector concernés.
Pour les équipes opérationnelles, cela signifie qu’il faut préparer un plan de validation et de déploiement pour être prêt dès l’arrivée des correctifs, plutôt que de compter sur une action de contournement immédiate.
Gravité du risque : Windows plus critique que macOS et Linux
La criticité varie selon le système, selon Cisco. La société affirme que le risque est élevé sur Windows, car les plateformes Windows exécutent le processus de scan ClamAV dans un contexte privilégié.
Sur macOS et Linux, Cisco classe la menace à un niveau moyen, car le processus de scan y tourne avec des privilèges plus faibles. Cette différence d’exécution influence directement la capacité d’un défaut à impacter le système.
Secure Endpoint Private Cloud : pas impacté, mais migration de patchs recommandée
Cisco indique que Secure Endpoint Private Cloud n’est pas affecté. En revanche, le logiciel Secure Endpoint Connector l’est.
Le conseil donné aux clients est clair : pousser les patchs disponibles depuis le cloud vers les terminaux. Cisco mentionne que ces correctifs sont intégrés dans les versions de Secure Endpoint Private Cloud 4.2.8 et suivantes.
Concrètement, l’objectif est de s’assurer que les machines clientes reçoivent bien les mises à jour nécessaires au niveau du composant qui exécute l’analyse ClamAV.
Aucune exploitation active connue
Enfin, Cisco précise ne pas être informé d’une exploitation de ces vulnérabilités “dans la nature” à ce stade. Cela ne réduit pas l’importance du correctif, mais cela aide à contextualiser l’état actuel de la menace.
Dans ce type de scénario, le fait que des PoC existent et que l’on observe un risque de DoS renforce l’intérêt d’agir rapidement, même en l’absence de signalements d’exploitation généralisée.
Recommandations pratiques pour les équipes sécurité
Pour réduire l’exposition liée aux ClamAV kwetsbaarheden, voici une approche opérationnelle basée sur les informations communiquées par Cisco :
- Planifier la mise à jour : préparez le déploiement des correctifs attendus en août pour Secure Endpoint Connector.
- Vérifier votre chaîne de mise à jour : confirmez que les patchs inclus dans Secure Endpoint Private Cloud 4.2.8+ sont bien poussés vers les endpoints.
- Prioriser Windows : étant donné le contexte privilégié du processus de scan, examinez en priorité les environnements Windows.
- Contrôler les formats de fichiers traités : étant donné l’impact sur des parsers liés à ZIP, PDF et autres formats, assurez-vous que les flux susceptibles de contenir des pièces piégées sont bien couverts.
- Documenter l’absence de contournement : comme Cisco ne mentionne pas de workaround, le correctif doit rester le levier central de mitigation.
Conclusion
Cisco avertit d’un ensemble de ClamAV kwetsbaarheden affectant Secure Endpoint Connector sur Windows, macOS et Linux. Les vulnérabilités visent des parsers de plusieurs formats de fichiers et peuvent mener à des conditions de déni de service, avec des PoC publics pour certaines d’entre elles.
Sans contournement identifié, la recommandation est de suivre le calendrier de correctifs : les correctifs sont inclus dans ClamAV 1.5.4 et les mises à jour Secure Endpoint Connector doivent être déployées en août. Pour sécuriser l’environnement, il est crucial de s’assurer que les patchs depuis le cloud atteignent bien les endpoints concernés.
Source: https://www.securityweek.com/cisco-warns-of-high-severity-clamav-vulnerabilities-with-public-poc/
