Se han detectado múltiples vulnerabilidades de severidad alta en el motor ClamAV de Cisco que permiten a atacantes remotos provocar la caída del proceso de escaneo del antivirus. Esto genera una denegación de servicio (DoS) en las implementaciones de Cisco Secure Endpoint Connector. El problema afecta a Windows, Linux y macOS, siendo el impacto más crítico en Windows (CVSS 7.5) debido a que el proceso de escaneo se ejecuta con privilegios elevados.

Múltiples vulnerabilidades de severidad alta en el motor ClamAV de Cisco permiten que atacantes remotos bloqueen el proceso de escaneo del antivirus, provocando una denegación de servicio (DoS) en las implementaciones afectadas del Cisco Secure Endpoint Connector.

Los fallos afectan a Windows, Linux y macOS, con el mayor impacto en Windows, donde están calificados como Altos (CVSS 7.5) porque el proceso de escaneo de ClamAV se ejecuta con privilegios más elevados y un fallo puede impactar directamente en la estabilidad del endpoint.

En Linux y macOS, la calificación del impacto de seguridad es Media, ya que ClamAV normalmente se ejecuta con privilegios reducidos y el DoS interrumpe principalmente el escaneo en lugar de todo el sistema.

Cisco aclara que Secure Endpoint Private Cloud no es vulnerable directamente. Sin embargo, los conectores distribuidos desde este heredan los fallos de ClamAV y deben ser actualizados.

Las vulnerabilidades tienen su origen en un manejo incorrecto de la memoria, comprobaciones de límites y gestión de recursos en múltiples analizadores de formato de archivo de ClamAV, incluyendo PE, FSG, 7z, InstallShield, PESpin, ALZ y DMG.

Vulnerabilidades de ClamAV

Un atacante no autenticado puede crear archivos malformados en estos formatos y enviarlos a un endpoint a través de correo electrónico, descarga web o carpetas compartidas para que ClamAV escanee el contenido.

Cuando el motor analiza el archivo malicioso, errores como escrituras fuera de límites, sobrelecturas de memoria y desbordamientos de enteros en plataformas de 32 bits pueden causar que el proceso de ClamAV termine y consuma temporalmente los recursos del sistema, resultando en una condición de DoS.

Cisco publicó el aviso cisco-sa-clamav-88cFYyxR el 1 de julio de 2026, advirtiendo que vulnerabilidades de análisis de ClamAV similares habían interrumpido previamente las operaciones de escaneo y, en algunos casos, provocado que los escaneos fallaran.

Esto podría permitir lograr la ejecución remota de código cuando los privilegios del proceso y las protecciones de la plataforma eran más débiles, subrayando el riesgo de los fallos en los motores de seguridad que procesan rutinariamente entradas no confiables.

Cisco señala que el impacto varía según el producto y la implementación de la plataforma, pero confirma la exposición para el Secure Endpoint Connector en Linux, Mac y Windows, todos los cuales utilizan componentes vulnerables de ClamAV.

Los conectores de Windows reciben una calificación Alta (CVSS 7.5); una explotación exitosa puede hacer que el endpoint no responda, requiriendo una intervención manual como un reinicio.

Los conectores de Linux y Mac reciben una calificación media; la explotación seguirá terminando el motor de escaneo y retrasará o bloqueará la detección de malware, pero normalmente no desestabiliza todo el sistema operativo.

Avisos regionales previos y notificaciones de proveedores sobre problemas de DoS en ClamAV muestran un patrón constante. Una vez que el proceso de escaneo falla, el dispositivo pierde la cobertura del antivirus hasta que el servicio se reinicia o se recupera el sistema.

Cisco informa que no existen soluciones alternativas prácticas para estas vulnerabilidades de ClamAV, dejando el parcheo como la única mitigación duradera.

Las versiones actualizadas de Secure Endpoint Connector están disponibles a través del portal de Cisco Secure Endpoint. Se insta a los clientes afectados a actualizar a las versiones corregidas documentadas para Windows, Linux y Mac como parte de los ciclos normales de actualización de contenido y software.

Tú y tu equipo de seguridad también deberíais revisar los IDs de errores de Cisco asociados y las entradas de CVE para conocer los números de compilación específicos y la guía de implementación, y asegurar que los endpoints tengan recursos suficientes antes de actualizar.

Fuentes:
https://cybersecuritynews.com/multiple-clamav-vulnerabilities/