Seit gestern clamav false positives Win.Exploit.CVE_2019_0903-6966169-0

tbc233 · 26. Mai 2019

Im Moment berichten mir sehr viele Anwender von Problemen beim Senden von E-Mails mit PDF Attachments. Anscheinend gibts hier grad ein Problem mit ClamAV Signaturen. Sehr viele Mails werden zurückgewesen weil angeblich erkannt als "Win.Exploit.CVE_2019_0903-6966169-0"

Hab dazu auch diesen recht aktuellen Thread gefunden: https://marc.info/?l=clamav-users&m=155878981528623&w=2

monderka · 27. Mai 2019

Bei uns heute morgen auch:

/usr/local/pd-admin2/bin/freshclam

ClamAV update process started at Mon May 27 07:46:54 2019

main.cvd is up to date (version: 58, sigs: 4566249, f-level: 60, builder: sigmgr)

daily.cld is up to date (version: 25461, sigs: 1581583, f-level: 63, builder: raynman)

bytecode.cvd is up to date (version: 328, sigs: 94, f-level: 63, builder: neo)

Diagnoseinformationen für Administratoren:
Generierender Server: Server.KUNDENEXCHANGE.LOCAL
Heinz.empfaenger@empfaenger.net
server14.domain.de
Remote Server returned '554 Your email was rejected because it contains the Win.Exploit.CVE_2019_0903-6966169-0 virus'

monderka · 27. Mai 2019

Folgenden Workaround habe ich gefunden:

https://bbs.archlinux.org/viewtopic.php?id=246646

https://www.clamav.net/documen…telist-a-clamav-signature

Nur wo ist beim PD-Admin das ClamAV Verzeichnis? /var/lib/clamav ist es ja nicht.

Gefunden glaube ich: /usr/local/pd-admin2/share/clamav

tbc233 · 27. Mai 2019

Mist, ich hatte gehofft dass das vielleicht bis heute früh in den Virensignaturen korrigiert ist. Das kann ja dann lustig werden heute.

monderka · 27. Mai 2019

Tritt bei uns auf allen Servern auf. Ich habe jetzt überall die whitelist.ign2 Datei angelegt.

In der Hoffnung das es dann geht. Echt ärgerlich.

[Update]

die whitelist.ign2 Datei im Verzeichnis /usr/local/pd-admin/shared/clamav bringt gar nichts.

Die Mails werden trotzdem abgelehnt.

[Update 2]

Neuer Versuch: Clamd nochmal durchstartet svc -du /service/clamd

Weiterer Hinweis:

https://forum.directadmin.com/archive/index.php/t-57936.html

tbc233 · 27. Mai 2019

Ich hab inzwischen aufgegeben und clamav deaktiviert. Mir wurde es zuviel, Telefon hörte nicht mehr zu läuten auf. Da es ja nicht das erste mal ist, hab ich da schon scripte vorbereitet:

clamav deaktieren:

Bash

#!/bin/bash
sed -i 's,clam=yes,clam=no,' /var/qmail/simcontrol/simcontrol

/usr/local/pd-admin2/qmail/bin/simscanmk
/usr/local/pd-admin2/qmail/bin/simscanmk -g

sed -i 's,clam=yes,clam=no,' /var/qmail/simcontrol-msa/simcontrol

CONTROLDIR=/var/qmail/simcontrol-msa \
/usr/local/pd-admin2/qmail/bin/simscanmk
CONTROLDIR=/var/qmail/simcontrol-msa \
/usr/local/pd-admin2/qmail/bin/simscanmk -g

Alles anzeigen

clamav wieder aktivieren:

Bash

#!/bin/bash
sed -i 's,clam=no,clam=yes,' /var/qmail/simcontrol/simcontrol

/usr/local/pd-admin2/qmail/bin/simscanmk
/usr/local/pd-admin2/qmail/bin/simscanmk -g

sed -i 's,clam=no,clam=yes,' /var/qmail/simcontrol-msa/simcontrol

CONTROLDIR=/var/qmail/simcontrol-msa \
/usr/local/pd-admin2/qmail/bin/simscanmk
CONTROLDIR=/var/qmail/simcontrol-msa \
/usr/local/pd-admin2/qmail/bin/simscanmk -g

Alles anzeigen

ddausch · 27. Mai 2019

Scheinbar funktioniert mit den neuesten Signaturen (Version 25462) alles wieder. Kann das noch jemand bestätigen?

Sumeragi · 27. Mai 2019

Ich konnte gerade ohne Probleme eine Mail mit PDF im Anhang zuschicken. Signaturen Version ist ebenfalls 25462:

Bash

/usr/local/pd-admin2/bin/clamscan --version
ClamAV 0.101.2/25462/Mon May 27 09:58:16 2019

cfraatz · 27. Mai 2019

Zitat von ddausch

Scheinbar funktioniert mit den neuesten Signaturen (Version 25462) alles wieder. Kann das noch jemand bestätigen?

Ja, sieht tatsächlich so aus, als wenn es jetzt wieder funktioniert.

altomom · 27. Mai 2019

Hm, nach expliziter Ausführung von freshclam und Erhalt der V 25462 macht er es nach Reaktivierung des ClamAV trotzdem nicht. Ich muss ClamAV weiterhin deaktiviert lassen. Hat jemand eine Idee zu "Nebeneffekten"?

tbc233 · 27. Mai 2019

Zitat von Sumeragi

Ich konnte gerade ohne Probleme eine Mail mit PDF im Anhang zuschicken. Signaturen Version ist ebenfalls 25462:

War es auch sicher eine PDF Datei, die vorher geblockt wurde? Es sind (oder waren) nämlich definitiv nicht alle PDFs betroffen. Ich konnte leider nicht so recht eingrenzen woran es lag, aber der Großteil der PDFs ging durch. Ich weiß das so genau, weil gestern ein Kollege von mir im Rahmen einer Sonderschicht sehr viele PDFs (Druckabzüge) verschicken musste und von ca. 20 PDF Dateien wurden nur etwa vier geblockt.

Sumeragi · 27. Mai 2019

Von der Schilderung her hatte ich den Eindruck, sämtliche Mails mit PDFs seien betroffen. Ich hatte bisher keinerlei Probleme. Als ich es heute getestet hatte, war die Signatur bereits aktualisiert und eine Testzustellung erfolgreich. Da zuvor bereits ein Erfolg mit aktualisierter Signatur vermeldet wurde, hatte ich dies ebenfalls bestätigt. Ich nahm an, das Problem sei somit behoben.

Man bräuchte also einmal eine PDF, womit das Verhalten reproduzierbar ist.

tbc233 · 27. Mai 2019

Sumeragi , hast eine PN von mir

altomom · 27. Mai 2019

Gab es noch irgendwelche neuen Erkenntnisse bei Euch? Scheue mich ein wenig, ClamAV einfach wieder "anzuschalten" und zu hoffen.

monderka · 28. Mai 2019

Ich habe heute auf einer Maschine die whitelist wieder gelöscht und den clamav durchgestartet.

Wenn ich bis mittag nichts verdächtiges mehr entdecke setze ich alle wieder zurück auf Normalzustand.

tbc233 · 29. Mai 2019

Ich konnte eben mehrere Dateien, die definitiv am Montag noch geblockt wurden, versenden. Gehe daher mal vorsichtig davon aus, dass das Thema vom Tisch ist und habe Clamav wieder aktiviert.