Cisco ClamAV の 7 つの脆弱性が FIX：アンチウイルス・スキャンがクラッシュ

CiscoClamAV Vulnerabilities Let Remote Attackers Crash Antivirus Scanning With Crafted Files

2026/08/11 gbhackers — Cisco が公表したのは、ClamAV に存在する深刻な脆弱性 7 件に関する情報であり、これらの脆弱性を悪用する未認証のリモート攻撃者は、特別に細工されたファイルを送信することでアンチウイルス・スキャンを妨害する可能性がある。これらの脆弱性 CVE-2026-20337／CVE-2026-20338／CVE-2026-20339／CVE-2026-20345／CVE-2026-20346／CVE-2026-20347／CVE-2026-20348 は、CVSS スコア 7.5 が割り当てられている。

ClamAV の脆弱性

これらの問題は、8月7日に公開され、8月10日に更新された Cisco のアドバイザリ “cisco-sa-clamav-WuuvVd26” に詳述されており、これらの脆弱性の悪用に成功した攻撃者は、ClamAV スキャン・プロセスを中断させ、サービス運用妨害 (DoS)  状態を引き起こす可能性があると、Cisco は述べている。

これらの脆弱性は個別のものであり、互いに独立しているため、スキャン・ワークフロー中に影響を受けるパーサーへのアクセスが生じた場合、攻撃者は各脆弱性を個別に悪用することが可能となる。今回の 7 件の脆弱性はいずれも、攻撃者が制御するコンテンツに対する、信頼できない解析に起因する。

1 つ目の脆弱性である CVE-2026-20337 は、不十分な境界チェックに起因し、ZIP アーカイブ処理で発生する境界外書き込みに関するものであり、2 つ目の脆弱性である CVE-2026-20338 は、不適切なメモリ処理に起因する、ZIP パーサーの二重解放エラーに関連するものである。どちらの脆弱性も、悪意のある ZIP ファイルにより発動され、これら 2 件については、実証コードが公開されている。

3 つ目の脆弱性である CVE-2026-20339 は、PESpin パーサーの不十分な境界検証に起因し、整数オーバーフローと後続のメモリ破損につながる可能性があり、4 つ目の脆弱性である CVE-2026-20345 は、GPT 解析中の誤ったエンディアン変換に起因し、境界外バッファ書き込みにつながる。

CVE-2026-20346／CVE-2026-20347 の脆弱性は、PDF および Mach-O の解析で発生する境界外読み取りの脆弱性であり、最後の脆弱性である CVE-2026-20348 は、XAR 処理において XAR を含む細工されたファイルをスキャンする際に発生し、メモリ破損を引き起こす可能性がある。

これらの脆弱性の一部では、メモリ破損によって影響が拡大する可能性があると、Cisco は指摘しているが、このアドバイザリにより確認される主な影響は、サービス運用妨害 (DoS) である。

  • CVE-2026-20337：CVSS：7.5 (High)：ClamAV ZIP パーサーの境界外書き込みの脆弱性。細工された ZIP ファイルにより、スキャン・プロセスがクラッシュし、Denial-of-Service が発生する可能性がある。
  • CVE-2026-20338：CVSS：7.5 (High)：ClamAV ZIP パーサーの二重解放によるメモリ破損の脆弱性。悪意のある ZIP コンテンツにより、スキャン・プロセスが終了する可能性がある。
  • CVE-2026-20339：CVSS：7.5 (High)：ClamAV PESpin パーサーの整数オーバーフローの脆弱性。細工された PESpin ファイルにより、メモリ破損と Denial-of-Service が発生する可能性がある。
  • CVE-2026-20345：CVSS：7.5 (High)：不適切なエンディアン変換に起因する、ClamAV GPT パーサーの境界外バッファ書き込みの脆弱性。細工された GPT ファイルにより、スキャンが妨害される可能性がある。
  • CVE-2026-20346：CVSS：7.5 (High)：ClamAV PDF パーサーの境界外バッファ読み取りの脆弱性。悪意のある PDF ファイルによりメモリ破損が発生し、スキャン・プロセスがクラッシュする可能性がある。
  • CVE-2026-20347：CVSS：7.5 (High)：ClamAV Mach-O パーサーの境界外バッファ読み取りの脆弱性。細工された Mach-O ファイルにより、アンチウイルス・スキャンが終了する可能性がある。
  • CVE-2026-20348：CVSS：7.5 (High)：ClamAV XAR パーサーのメモリ破損の脆弱性。XAR を含む悪意のあるファイルにより、スキャン・エンジンがクラッシュし、Denial-of-Service が発生する可能性がある。

Cisco は、現時点で悪用を認識していないと述べており、実証コードが公開されているのは、CVE-2026-20337／CVE-2026-20338 のみである。

これらの脆弱性は、Windows／Linux／macOS 上の Cisco Secure Endpoint Connector のインストール環境に影響を及ぼし、Windows 展開環境では、ClamAV スキャン・プロセスが特権セキュリティ・コンテキストで動作するため、高深刻度の Cisco Security Impact Rating が付与されている。一方、Linux と macOS では、スキャンが低い権限で実行されるため、Medium と評価されており、Cisco Secure Endpoint Private Cloud は脆弱ではないものの、Private Cloud が配布するエンドポイント・コネクタは影響を受ける。

現時点で利用可能な回避策は存在せず、Cisco は上記 3 種類のオペレーティング・システム向けに、更新版の Secure Endpoint Connector リリースを準備している。リリース番号は未定であり、2026年8月のリリースが見込まれているほか、Private Cloud バージョン 4.2.8 以降では、更新版エンドポイント・ソフトウェアの配布がサポートされる。

セキュリティ・チームに求められるのは、使用中のコネクタ・バージョンを特定し、Windows エンドポイントのアップデートを優先することであり、更新版コネクタが提供され次第、Secure Endpoint ポータルまたは通常の Private Cloud コンテンツ・アップデート・プロセスを通じて、更新版コネクタを展開すべきである。

パッチがインストールされるまで、組織は、スキャンに送信される信頼されていないアーカイブ／PDF／ディスク・イメージ／実行可能ファイルを、スキャンによる可用性への影響を招く可能性があるコンテンツとして扱う必要があり、特に、メール・ゲートウェイ／ファイル・アップロード・サービス／自動マルウェア分析パイプラインでは、その扱いが重要となる。

セキュリティ対策製品である Cisco ClamAV および Cisco Secure Endpoint Connector において、複数の不具合が判明しました。信頼できないデータを分析する際の処理不足が要因となり、悪意あるデータを受信した際にスキャン機能が不意に停止する現象が発生しました。本件に該当する脆弱性は CVE-2026-20337／CVE-2026-20338／CVE-2026-20339／CVE-2026-20345／CVE-2026-20346／CVE-2026-20347／CVE-2026-20348 です。この事象により、マルウェアの検出処理が妨害されて運用が停滞する恐れが生じます。回避手段はありませんので、配布状況を確認したうえで修正プログラムの適用手順を進めることが大切です。