Sicherheitslücken: Angreifer können Wachdienst von ClamAV stören

Was geschehen ist – die Kernmeldung

Der weit verbreitete Open-Source-Virenscanner ClamAV, der insbesondere in professionellen IT-Umgebungen wie Mailservern und Gateways eine zentrale Rolle spielt, ist Ziel einer schwerwiegenden Sicherheitswarnung geworden. Die Entwickler des Projekts haben insgesamt acht Sicherheitslücken identifiziert und geschlossen, die es Angreifern ermöglichen könnten, den Schutzmechanismus des Scanners zu umgehen oder gar vollständig zu deaktivieren. Die Schwere der Bedrohung wird dadurch unterstrichen, dass viele dieser Angriffe aus der Ferne und ohne vorherige Authentifizierung durchgeführt werden können. In den meisten Fällen führt eine erfolgreiche Attacke zu einem sogenannten Denial-of-Service-Zustand (DoS), bei dem der Virenscanner abstürzt und somit seine Funktion als Sicherheitsbarriere verliert. Da ClamAV oft als erste Verteidigungslinie gegen eingehende digitale Bedrohungen fungiert, wiegt ein solcher Ausfall besonders schwer. Die Sicherheitslücken wurden in zwei neuen Versionen der Software adressiert, die nun von Administratoren zeitnah eingespielt werden sollten, um die Integrität ihrer IT-Infrastrukturen zu gewährleisten. Die Situation ist deshalb so kritisch, weil ClamAV in vielen Unternehmensnetzwerken eine grundlegende Komponente darstellt, deren Ausfall die gesamte Sicherheitsarchitektur schwächen kann.

Die Einzelheiten – Zahlen, Namen und Fakten

Die technischen Details der Schwachstellen sind alarmierend. Insgesamt acht Sicherheitslücken wurden in den betroffenen ClamAV-Versionen gefunden. Sieben dieser Lücken ermöglichen es Angreifern, den Scanner durch gezielte Manipulationen zum Absturz zu bringen, was einen DoS-Zustand zur Folge hat. Die Einstufung dieser DoS-Schwachstellen erfolgt mit dem Bedrohungsgrad „hoch“. Um diese Abstürze herbeizuführen, müssen Angreifer dem Scanner präparierte Dateien zur Überprüfung unterschieben, beispielsweise speziell manipulierte Zip-Archive oder PDF-Dokumente. Ein konkretes Beispiel für eine solche Schwachstelle ist die Kennung CVE-2026-20338. Besonders kritisch ist zudem eine weitere Schwachstelle, die unter der Kennung CVE-2025-8088 gelistet ist. Diese betrifft speziell Windows-Systeme und erlaubt bei der Verarbeitung von RAR-Archiven sogar die Ausführung von Schadcode. In einem solchen Szenario gilt der betroffene Computer in der Regel als vollständig kompromittiert, da der Angreifer die Kontrolle über das System übernehmen kann. Die Entwickler haben auf diese Bedrohungslage reagiert und die Fehler in den neuen Programmversionen 1.4.6 und 1.5.4 behoben. Es ist dringend geboten, dass Administratoren ihre Systeme auf diese Versionen aktualisieren, um die genannten Risiken zu minimieren.

Hintergrund – Vorgeschichte und bisheriger Verlauf

ClamAV ist ein seit Jahren etabliertes Open-Source-Projekt, das weltweit in einer Vielzahl von Sicherheitslösungen zum Einsatz kommt. Organisatorisch ist das Projekt unter dem Dach des Netzwerkausrüsters Cisco angesiedelt. Die nun bekannt gewordenen Schwachstellen fügen sich in eine Reihe von Herausforderungen ein, denen sich Virenscanner in einer zunehmend komplexen Bedrohungslandschaft stellen müssen. Die Analyse der Sicherheitslücken erfolgte im Rahmen der kontinuierlichen Überprüfung der Software durch die Entwickler und Sicherheitsforscher. Bisher gibt es seitens Cisco keine Hinweise darauf, dass die Schwachstellen bereits aktiv im großen Stil ausgenutzt werden. Dennoch ist die Gefahr real, da für zwei der identifizierten Schwachstellen, namentlich CVE-2026-20337 und CVE-2026-20338, bereits Proof-of-Concept-Code im Internet kursiert. Dies bedeutet, dass Angreifer nun über die notwendigen Werkzeuge verfügen könnten, um die Lücken gezielt auszunutzen. Die Verfügbarkeit solcher Codeschnipsel verkürzt in der Regel die Zeitspanne zwischen der Veröffentlichung einer Schwachstelle und deren tatsächlicher Ausnutzung durch Cyberkriminelle erheblich, weshalb die Entwickler eine schnelle Reaktion der Anwender fordern.

Die Beteiligten – Betroffene und Entscheidungsträger

Im Zentrum dieser Sicherheitsmeldung steht das ClamAV-Entwicklerteam, das die Software pflegt und für die Bereitstellung der Sicherheitsupdates verantwortlich ist. Da ClamAV organisatorisch zum Netzwerkausrüster Cisco gehört, ist das Unternehmen maßgeblich in die Kommunikation und die Bereitstellung der Patches involviert. Ebenfalls betroffen sind Administratoren von Mailservern, Gateways und anderen IT-Systemen, die ClamAV als Schutzkomponente einsetzen. Diese IT-Verantwortlichen stehen nun in der Pflicht, die Sicherheitsupdates zeitnah zu implementieren. Ein weiterer Akteur ist Ciscos eigene Schutzlösung „Secure Endpoint Connector“, die ebenfalls auf der ClamAV-Technologie basiert. Hier zeigt sich die Tragweite der Problematik: Während für den Standalone-Scanner bereits reparierte Versionen vorliegen, ist für den Secure Endpoint Connector noch keine aktualisierte Ausgabe verfügbar. Die Entwickler haben jedoch angekündigt, dass eine entsprechende Lösung noch im Laufe des aktuellen Monats bereitgestellt werden soll. Die Nutzer dieser spezifischen Cisco-Produkte sind somit aktuell noch auf eine offizielle Lösung durch den Hersteller angewiesen.

Einordnung – Die Bedeutung der Sicherheitslücken

Einzuordnen ist die aktuelle Situation als ein ernstes Warnsignal für Betreiber von IT-Infrastrukturen. Wenn ein Virenscanner, der eigentlich als Schutzschild dienen soll, selbst zum Einfallstor für Angriffe wird, entsteht eine gefährliche Lücke im Sicherheitskonzept. Den Berichten zufolge ist insbesondere die Möglichkeit der Schadcode-Ausführung unter Windows ein Szenario, das Administratoren nicht auf die leichte Schulter nehmen dürfen. Ein kompromittierter Server kann als Ausgangspunkt für weitere Angriffe innerhalb eines Unternehmensnetzwerks dienen. Die Tatsache, dass die Schwachstellen ohne Authentifizierung aus der Ferne ausnutzbar sind, erhöht das Risiko massiv, da Angreifer keinen physischen Zugriff oder Nutzerrechte benötigen, um den Scanner anzugreifen. Dass die DoS-Lücken als „hoch“ eingestuft werden, unterstreicht die Relevanz für die Verfügbarkeit von Diensten. Ein Mailserver, der aufgrund eines abgestürzten Scanners keine E-Mails mehr verarbeiten kann, stellt für viele Unternehmen einen erheblichen operativen Ausfall dar. Die Sicherheitsupdates sind daher nicht als optionale Wartung, sondern als notwendige Schutzmaßnahme zu betrachten.

Offene Fragen – Was der Quelltext nicht beantwortet

Trotz der detaillierten Informationen zu den Schwachstellen bleiben einige Fragen offen, die für betroffene Anwender von Bedeutung sein könnten. Der Quelltext macht beispielsweise keine Angaben dazu, ob es spezifische Indikatoren gibt, an denen Administratoren bereits stattgefundene Angriffsversuche erkennen könnten. Es bleibt unklar, welche Log-Dateien oder Systemmeldungen im Falle eines Absturzes durch eine solche Attacke zu prüfen wären, um eine Kompromittierung auszuschließen. Zudem wird nicht explizit ausgeführt, welche weiteren Produkte von Cisco oder Drittanbietern, die ClamAV integriert haben, neben dem „Secure Endpoint Connector“ ebenfalls von der Verzögerung der Patches betroffen sein könnten. Auch ist nicht bekannt, wie viele Instanzen von ClamAV weltweit derzeit noch mit den verwundbaren Versionen betrieben werden, was eine Einschätzung der tatsächlichen Gefährdungslage für das globale Internet erschwert. Die genauen technischen Mechanismen, wie die Schadcode-Ausführung bei den RAR-Archiven unter Windows exakt abläuft, werden ebenfalls nur in Grundzügen skizziert, ohne tiefere Details zur Ausnutzung zu liefern.

Wie es weitergeht – Ankündigungen und Termine

Der weitere Verlauf ist durch die Maßnahmen der Entwickler klar vorgegeben. Administratoren sind dazu aufgerufen, die bereitgestellten Versionen 1.4.6 und 1.5.4 umgehend in ihre Systeme zu integrieren. Für Anwender der Cisco-Lösung „Secure Endpoint Connector“ bleibt die Situation vorerst unverändert, da hier noch kein Patch verfügbar ist. Die Entwickler haben jedoch verbindlich in Aussicht gestellt, dass die reparierte Version für dieses spezifische Produkt noch im Laufe des aktuellen Monats veröffentlicht werden soll. Bis zu diesem Zeitpunkt müssen sich Nutzer dieser Lösung auf alternative Sicherheitsmaßnahmen verlassen oder den Betrieb der betroffenen Komponenten kritisch überwachen. Es ist zu erwarten, dass nach der Veröffentlichung der Patches für den Secure Endpoint Connector eine weitere Welle von Aktualisierungen in Unternehmensumgebungen stattfinden wird. Die Sicherheitsgemeinschaft wird die weitere Entwicklung genau beobachten, insbesondere im Hinblick darauf, ob der bereits im Umlauf befindliche Proof-of-Concept-Code tatsächlich in aktiven Angriffen gegen ungepatchte Systeme verwendet wird.