製品に同梱されたスキャナーの古いライブラリーも攻撃面になる：MDaemon の ClamAV と RAR のパストラバーサル
ウクライナで、メールサーバー MDaemon の添付ファイル検査に同梱された古い ClamAV の RAR 展開ライブラリーを悪用し、細工した RAR を送るだけで（メールを開かせずに）サーバーへ不正な DLL を書き込む攻撃が報告された。ClamAV 側は 2025 年 7 月に修正済みだったのに、MDaemon の修正は約 1 年遅れた。
何が起きたか（ESET の 10 月 28 日公表の APT 活動報告）
- WinRAR で知られるパストラバーサル CVE-2025-8088 が古い ClamAV の
libclamunrar.dllにも影響。MDaemon AntiVirus で ClamAV による添付検査を使う構成なら、そのサーバー上のどのアドレス宛てでも成立する。 - ClamAV は 2025 年 7 月 27 日に修正。MDaemon は古い DLL を同梱し続け、2026 年 8 月 25 日の 26.0.4 で修正。影響は MDaemon 22.0.0〜26.0.3 とサポート終了版。
- 侵入後は HELLAGE（メール窃取、追加マルウェア導入）と HELLTAG（Telegram ボット経由の遠隔操作）が使われた。
対応
- MDaemon AntiVirus を使っているなら 26.0.4 以降に更新する。更新できなければ、開発元の公式手順で ClamAV 1.4.6 に差し替える。
- 同梱ライブラリーの版を自分で確かめる: メールゲートウェイ、ファイル共有、CI などに組み込まれたスキャナーや展開ライブラリー（unrar、7-Zip、libarchive など）の版を棚卸しし、上流の修正が製品に入ったかを確認する。製品の版が新しくても、中の部品が古いままのことがある。
- 検査処理の権限を絞る: 添付の展開・検査は低権限のアカウントや隔離した一時ディレクトリーで動かし、実行ファイルのフォルダーに書き込めないようにする。
- 検査プロセスが書いた想定外の DLL や、サーバーからの Telegram API への通信を監視する。