Virenpruefung an clamd anbinden, wo clamd tatsaechlich lauscht

Die Adresse zeigte auf /var/run/clamav/clamd.sock in einem geteilten
Volume. Das offizielle clamav-Image legt seinen Unix-Socket aber unter
/tmp im eigenen Container an - nachgemessen, das Verzeichnis im Volume
bleibt leer. Jeder Verbindungsversuch lief damit in ENOENT, und die
Statusseite meldete die Virenpruefung dauerhaft als gestoert.

Folgenreich war das nicht nur fuer die Anzeige: ohne erreichbaren Scanner
bleiben Uploads auf "Pruefung unvollstaendig" liegen und brauchen die
Freigabe von Hand. Die Kette hat also gehalten, aber niemand kam durch.

Dasselbe Image oeffnet ab Werk TCPSocket 3310. Darueber laeuft die
Anbindung jetzt; der Port ist im Stack nicht veroeffentlicht und nur im
internen Netz erreichbar. CLAMAV_ADDRESS nimmt weiterhin einen Pfad an,
falls irgendwo doch ein Unix-Socket erreichbar ist.

Das Socket-Volume faellt weg, es enthielt nie etwas. Der Scanner sieht
ausserdem die Dateiablage nicht mehr: uebertragen wird per INSTREAM durch
die Verbindung, gelesen hat er dort nie etwas.

Geprueft gegen ein laufendes clamd, einschliesslich EICAR. Diese Pruefung
bleibt als abschaltbarer Teil der Suite stehen:

  CLAMAV_LIVE=clamav:3310 pnpm --filter @afis/web test pruefkette

Die uebrigen neuen Pruefungen decken das Zerlegen der Adresse ab. Sie
haetten den Fehler nicht gefunden - eine Adresse, die auf nichts zeigt,
ist syntaktisch tadellos. Nur eine echte Verbindung beantwortet das.

web/lib/files/clamav.ts

@@ -1,14 +1,50 @@
 import net from 'node:net'
 
 /**
- * Anbindung an clamd über den Unix-Socket im geteilten Volume.
+ * Anbindung an clamd.
  *
  * Es wird **INSTREAM** benutzt, nicht SCAN mit einem Pfad: dann muss der
  * Scanner die Datei nicht sehen können, und die Anbindung funktioniert auch,
  * wenn clamd anderswo läuft. Das Protokoll ist simpel - Länge als 4 Byte,
  * Nutzdaten, dann eine Null-Länge als Abschluss.
+ *
+ * Die Adresse ist entweder `host:port` oder ein Pfad zu einem Unix-Socket.
+ * Vorgabe ist TCP, weil das offizielle clamav-Image seinen Unix-Socket unter
+ * `/tmp/clamd.sock` anlegt und nicht dort, wo ein geteiltes Volume ihn
+ * sichtbar machen könnte - ein Socket-Volume blieb schlicht leer und die
+ * Virenprüfung meldete sich dauerhaft als gestört. `TCPSocket 3310` ist in
+ * demselben Image ab Werk offen, und im Stack ist der Port nicht nach aussen
+ * veröffentlicht.
  */
 
+/** `host:port` oder ein absoluter Pfad. Getrennt, damit es prüfbar ist. */
+export type ClamavAddress = { path: string } | { host: string; port: number }
+
+export function parseClamavAddress(address: string): ClamavAddress {
+  const sauber = address.trim()
+  if (sauber.startsWith('/') || sauber.startsWith('.')) return { path: sauber }
+
+  // Von hinten trennen, damit eine IPv6-Adresse in Klammern heil bleibt.
+  const trenner = sauber.lastIndexOf(':')
+  if (trenner <= 0) throw new Error(`clamd-Adresse ohne Port: ${address}`)
+
+  const port = Number(sauber.slice(trenner + 1))
+  if (!Number.isInteger(port) || port < 1 || port > 65_535) {
+    throw new Error(`clamd-Adresse mit ungültigem Port: ${address}`)
+  }
+
+  const host = sauber.slice(0, trenner).replace(/^\[|\]$/g, '')
+  if (host.length === 0) throw new Error(`clamd-Adresse ohne Host: ${address}`)
+  return { host, port }
+}
+
+function verbinden(address: string): net.Socket {
+  const ziel = parseClamavAddress(address)
+  return 'path' in ziel
+    ? net.createConnection(ziel.path)
+    : net.createConnection({ host: ziel.host, port: ziel.port })
+}
+
 export type ScanResult =
   | { ok: true; clean: true }
   | { ok: true; clean: false; signature: string }
@@ -18,7 +54,7 @@ export type ScanResult =
 const CHUNK = 64 * 1024
 
 export function scanBuffer(
-  socketPath: string,
+  address: string,
   content: Uint8Array,
   timeoutMs = 30_000,
 ): Promise<ScanResult> {
@@ -26,7 +62,7 @@ export function scanBuffer(
     let settled = false
     let antwort = ''
 
-    const socket = net.createConnection(socketPath)
+    const socket = verbinden(address)
     const done = (result: ScanResult) => {
       if (settled) return
       settled = true
@@ -69,11 +105,8 @@ export function scanBuffer(
   })
 }
 
-/**
- * Fragt clamd über den Unix-Socket. Der Socket liegt im geteilten Volume
- * clamav_socket, siehe compose.yaml. Antwort auf zPING ist "PONG".
- */
-export function pingClamav(socketPath: string, timeoutMs = 2000): Promise<boolean> {
+/** Fragt clamd, ob er da ist. Antwort auf zPING ist "PONG". */
+export function pingClamav(address: string, timeoutMs = 2000): Promise<boolean> {
   return new Promise((resolve) => {
     let settled = false
     const done = (ok: boolean) => {
@@ -83,7 +116,7 @@ export function pingClamav(socketPath: string, timeoutMs = 2000): Promise<boolea
       resolve(ok)
     }
 
-    const socket = net.createConnection(socketPath)
+    const socket = verbinden(address)
     socket.setTimeout(timeoutMs)
     socket.on('connect', () => socket.write('zPING\0'))
     socket.on('data', (chunk) => done(chunk.toString().includes('PONG')))

web/lib/files/process.ts

@@ -66,7 +66,7 @@ export async function runCheckChain(
 
     // 2. Virenscanner.
     if (!options.skipScan) {
-      const scan = await scanBuffer(getEnv().CLAMAV_SOCKET, inhalt)
+      const scan = await scanBuffer(getEnv().CLAMAV_ADDRESS, inhalt)
       if (!scan.ok) {
         // Nicht blockiert, sondern unentschieden: die Datei ist nicht als böse
         // erkannt, sie ist ungeprüft. Ein Administrator kann sie freigeben.