CVE-2026-20217: uma cadeia de vulnerabilidades em ZendTo e ClamAV

CVE-2026-20217: uma cadeia de vulnerabilidades em ZendTo e ClamAV

Este artigo examina a vulnerabilidade CVE-2026-20217, envolvendo uma cadeia de exploração no aplicativo ZendTo e no mecanismo antivírus ClamAV, onde o mecanismo de varredura de arquivos enviados através do daemon antivírus serve como ponto de entrada para execução remota de código (RCE). O vetor de ataque principal depende de um fluxo de upload de arquivos acessível publicamente que passa dados fornecidos pelo usuário para o ClamAV analisar arquivos e objetos aninhados.

O problema chave é o manuseio inadequado de estruturas PE/arquivo pelo ClamAV, que permite que um atacante use um arquivo especialmente criado para corromper o heap e subsequentemente ganhar controle da execução. Isso resulta em execução de código no contexto do serviço ClamAV (usuário clamav) com uma possível escalada subsequente para um nível de privilégio mais alto, dependendo da configuração do sistema.

Artigo: https://www.securifera.com/blog/2026/08/07/file-drop-to-rce-cve-2026-20217/

PoC: https://github.com/securifera/CVE-2026-20217