思科（Cisco）释出开源防毒软件ClamAV 1.4.2和1.0.8版本，其中一项重要安全更新是修补可能导致拒绝服务（DoS）攻击的漏洞CVE-2025-20128。该漏洞存在于OLE2文件格式解析的过程，攻击者可以利用经过特殊设计的文件，使ClamAV防毒扫描功能崩溃，进一步影响其运作。用户目前可以在ClamAV官网、GitHub Release页面以及Docker Hub上找到更新文件。

CVE-2025-20128漏洞由Google的OSS-Fuzz专案发现，主要问题出在OLE2文件解密过程出现缓冲区溢出读取错误。该问题自ClamAV 1.0.0版本就已存在，影响所有目前仍在支援範围内的版本，攻击者一旦成功滥用此漏洞，就可能导致防毒扫描中断，虽然不会直接影响整体系统的稳定性，但却会对用户安全防护构成威胁。

拒绝服务攻击是一种常见的攻击手法，发生于防毒系统这类重要的应用影响重大，特别是ClamAV为一款被广泛使用的开源防毒工具。Cisco特别强调，此漏洞没有临时替代方案，只有升级至最新的修补版本才能完全解决问题。

儘管目前没有发现针对CVE-2025-20128漏洞的攻击案例，但官方特别强调，已经有公开的概念性验证程序码流传。这代表该漏洞可能成为攻击的目标，Cisco敦促企业应立即检查现有环境，确保ClamAV的版本已更新至1.4.2或1.0.8。