TrendAI Zero Day Initiative ha reso pubblico oggi, 13 agosto 2026, l'advisory ZDI-26-583: un integer overflow nel parser 7z di Clam AntiVirus permette esecuzione di codice remoto nel contesto del processo di scansione. La divulgazione coordinata chiude una finestra di 85 giorni aperta il 20 maggio 2026, con patch già rilasciate dal vendor. La stessa funzione che protegge la periferia — la scansione automatica di ogni archivio 7z in transito — si trasforma in superficie di attacco.
- L'advisory ZDI-26-583 documenta un integer overflow nel parser 7z di ClamAV che porta a buffer sottodimensionato e corruzione di memoria out-of-bounds
- TrendAI ZDI classifica l'impatto come Remote Code Execution nel processo ClamAV; il CVE-2026-20215 registra invece DoS con "possibly other expanded impacts"
- Il Common Vulnerabilities and Exposures assegna CVSS 3.1 7.5 HIGH con vettore di rete e nessun privilegio richiesto: l'attacco è remotamente sfruttabile senza interazione utente
- Cisco conferma il rischio elevato per piattaforme Windows 32-bit legacy, dove vulnerabilità simili hanno storicamente portato a RCE pratico
Il meccanismo: da integer overflow a corruzione di memoria
La falla risiede nel parsing degli stream all'interno di archivi 7z. Secondo la descrizione tecnica dell'advisory ZDI, "The specific flaw exists within the parsing of streams within 7z files. The issue results from the lack of proper validation of user-supplied data, which can result in an integer overflow before allocating a buffer." I dati controllati dall'attente, inseriti nel campo dimensione di uno stream 7z, non vengono validati prima dell'operazione aritmetica che calcola lo spazio da allocare.
Il wrap-around produce un buffer sottodimensionato. La successiva scrittura out-of-bounds corrompe la memoria adiacente. ZDI afferma che "an attacker can leverage this vulnerability to execute code in the context of the ClamAV process." Il processo di scansione gira tipicamente con privilegi sufficienti a leggere, analizzare e talvolta quarantenare file di sistema: la compromissione apre il percorso a pivoting interno.
Il gap tra valutazioni: RCE per ZDI, DoS con riserva per CVE e Cisco
La divergenza tra fonti è significativa e va letta come indicatore di incertezza tecnica, non come contraddizione. Il CVE Record CVE-2026-20215 descrive "a DoS condition, or possibly other expanded impacts, resulting from memory corruption." La stessa fonte classifica la vulnerabilità come CWE-120, Buffer Copy without Checking Size of Input, e assegna CVSS 7.5 HIGH con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. L'impatto sulla triade CIA è limitato alla disponibilità nella stringa ufficiale, ma il "possibly other expanded impacts" lascia aperta la porta a scenari più gravi.
Cisco Security Advisory, pubblicato a luglio 2026, mappa lo stesso CVE-2026-20215 con identico punteggio e vettore. La nota distintiva emerge su Windows: "On Windows-based platforms, attackers have used similar vulnerabilities to achieve remote code execution. However, no evidence exists proving the potential for remote code execution for the vulnerabilities that are described in this advisory." Cisco non esclude il RCE: documenta che non ha evidenza per questa specifica istanza su architetture 64-bit moderne, mentre i sistemi 32-bit legacy restano nella fascia di rischio storico.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Clam AntiVirus." — ZDI Advisory ZDI-26-583
Superficie di attacco e deploy di ClamAV
Clam AntiVirus è il motore open source più diffuso in gateway email, server Linux, e soluzioni enterprise di endpoint protection. L'integrazione in Cisco Secure Endpoint amplifica la portata: la stessa infrastruttura che blocca minacce diventa veicolo di infezione se il file 7z crafted transita per la scansione. L'assenza di requisito di interazione utente nel vettore CVSS — UI:N — significa che un allegato email o un download automatico sono sufficienti a innescare il parser vulnerabile.
L'angolo "paradosso del guardiano" non è retorico. L'antivirus ha accesso privilegiato al filesystem, intercetta ogni flusso dati, e opera in posizione di man-in-the-middle tra rete esterna e storage interno. Una RCE in questo contesto non è equivalente a una falla in un'applicazione utente: l'attaccante ottiene un beachhead con visibilità totale sui file in transito, potenzialmente inclusi archivi aziendali, backup, o documenti sensibili. La fonte non specifica la natura esatta dei dati esposti post-compromissione.
Cosa fare adesso
Le azioni seguenti sono ricavate direttamente dai documenti ufficiali e dalla logica della disclosure coordinata:
- Verificare la versione di ClamAV in produzione: l'advisory ZDI-26-583 conferma che "Clam AntiVirus has issued an update to correct this vulnerability." La fonte non elenca versioni specifiche interessate; la verifica passa per il confronto con le release notes ufficiali del vendor
- Prioritizzare sistemi Windows 32-bit legacy: il Cisco Security Advisory segnala esplicitamente che piattaforme simili hanno storicamente permesso RCE pratico per vulnerabilità del medesimo ordine. L'assenza di evidenza su 64-bit non esime dall'aggiornamento, ma sposta il rischio quantificato
- Isolare la scansione di archivi 7z da fonti non attendibili: il vettore di rete senza autenticazione e senza interazione utente rende il file 7z crafted equivalente a un payload auto-eseguibile nel momento in cui tocca il motore di scansione. Filtrare o ritardare la scansione di 7z da origini esterne riduce la superficie d'urto
- Monitorare anomalie nel processo ClamAV: crash ripetuti, spike di consumo memoria, o terminazioni anomale del demone di scansione su archivi 7z possono indicare tentativi di trigger della falla. La fonte non documenta indicatori di compromissione specifici; il monitoraggio si limita a comportamenti devianti noti
Il valore della disclosure coordinata e i limiti del dossier
I quasi 85 giorni tra segnalazione (20 maggio) e pubblicazione (13 agosto) rappresentano una finestra di disclosure coordinata nella media del settore, sufficiente per il rilascio di patch senza esporre pubblicamente il dettaglio exploitabile prima del fix. ZDI non attribuisce la scoperta a un ricercatore specifico nel testo dell'advisory. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a campagne note allo stato attuale.
Il dossier non specifica versioni di ClamAV affette, non pubblica dettagli del payload o PoC, e non documenta exploit in-the-wild. L'URL della patch indicato dall'advisory ZDI rimanda all'advisory stesso, non a un changelog o commit specifico: l'amministratore deve ricostruire il punto di fix tramite i canali di rilascio ufficiali del progetto.
FAQ
Perché ZDI dice RCE e Cisco dice DoS?
ZDI ha analizzato il percorso tecnico completo — integer overflow, allocazione fallata, scrittura out-of-bounds — e conclude per RCE fattibile. CVE e Cisco si concentrano sull'impatto verificato o dichiarato: DoS certo, "possibly other expanded impacts" come riserva. La distinzione riflette prassi diverse di valutazione, non una contraddizione sostanziale sul meccanismo.
Quanto è pericoloso su Linux server?
Il CVSS 7.5 HIGH con vettore di rete si applica indipendentemente dalla piattaforma. Cisco non ha evidenza di RCE pratico su architetture 64-bit moderne, ma questa assenza di evidenza non equivale a assenza di rischio. Il brief non documenta differenze di impatto tra sistemi operativi oltre alla nota Windows 32-bit.
Esiste un exploit pubblico?
Nessuna delle fonti citate indica la disponibilità di exploit in-the-wild o PoC pubblico. L'advisory ZDI descrive il meccanismo a livello concettuale senza rilasciare codice.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-583/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-20215
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-clamav-88cFYyxR
- https://www.trendmicro.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.