Cisco advierte sobre fallos de alta severidad en el motor de escaneo ClamAV
Cisco ha emitido una alerta urgente respecto a dos vulnerabilidades de alta severidad que afectan a su solución Secure Endpoint Connector. Estos fallos, identificados en el motor de antivirus de código abierto ClamAV, podrían permitir a actores de amenazas interrumpir los procesos de escaneo mediante ataques de Denegación de Servicio (DoS).
Detalles técnicos de las vulnerabilidades
Los fallos, registrados como CVE-2026-20337 y CVE-2026-20338, se localizan específicamente en el analizador de archivos ZIP de ClamAV. Según el equipo de respuesta a incidentes de seguridad de productos de Cisco (PSIRT), estas debilidades se deben a:
- Controles de límites inadecuados: Lo que permite desbordamientos o errores de lectura.
- Gestión deficiente de la memoria: Facilitando la manipulación del proceso por parte de atacantes remotos no autenticados.
Un atacante podría explotar estas vulnerabilidades enviando un archivo ZIP malicioso diseñado específicamente para ser escaneado. Si el exploit tiene éxito, el proceso de escaneo de ClamAV se detendría por completo, dejando al sistema vulnerable al no poder procesar nuevas amenazas.
Disponibilidad de exploits públicos y riesgo para Windows
Lo más preocupante para el sector empresarial es que ya existe código de explotación de prueba de concepto (PoC) disponible públicamente. Aunque Cisco afirma no tener evidencia de que estos fallos estén siendo utilizados activamente en ataques reales, la disponibilidad del código aumenta drásticamente la probabilidad de incidentes a corto plazo.
El impacto es particularmente crítico para los entornos Windows. En esta plataforma, el proceso de escaneo de ClamAV se ejecuta en un contexto de seguridad privilegiado, lo que eleva el riesgo de seguridad en comparación con otros sistemas operativos como Linux o macOS.
Medidas de mitigación y actualización
Las vulnerabilidades afectan a las versiones de ClamAV desde la 1.5.0 hasta la 1.5.3. La solución definitiva ya ha sido publicada en la versión 1.5.4, lanzada el pasado 7 de agosto.
Para las empresas que utilizan Cisco Secure Endpoint Connector, la compañía ha anunciado que lanzará actualizaciones de software específicas a finales de este mes para Windows, Linux y Mac. Dado que no existen soluciones alternativas (workarounds) para mitigar estos fallos sin actualizar el software, desde Intedya recomendamos encarecidamente:
- Monitorear las actualizaciones: Estar atentos a los parches oficiales de Cisco para Secure Endpoint.
- Actualizar instancias independientes: Si su organización utiliza ClamAV de forma independiente, migrar inmediatamente a la versión 1.5.4.
- Revisar la higiene digital: Reforzar el filtrado de archivos adjuntos sospechosos en las puertas de enlace de correo electrónico.
Este incidente subraya la importancia de mantener una gestión de vulnerabilidades proactiva, especialmente en herramientas de seguridad críticas que, paradójicamente, pueden convertirse en el vector de entrada o de fallo de un sistema si no se mantienen debidamente actualizadas.
Fuentes
- Bleeping Computer — Cisco warns of high-severity ClamAV flaws with public exploits
https://www.bleepingcomputer.com/news/security/cisco-warns-of-high-severity-clamav-flaws-with-public-exploits/