Virenpruefung an clamd anbinden, wo clamd tatsaechlich lauscht

Die Adresse zeigte auf /var/run/clamav/clamd.sock in einem geteilten
Volume. Das offizielle clamav-Image legt seinen Unix-Socket aber unter
/tmp im eigenen Container an - nachgemessen, das Verzeichnis im Volume
bleibt leer. Jeder Verbindungsversuch lief damit in ENOENT, und die
Statusseite meldete die Virenpruefung dauerhaft als gestoert.

Folgenreich war das nicht nur fuer die Anzeige: ohne erreichbaren Scanner
bleiben Uploads auf "Pruefung unvollstaendig" liegen und brauchen die
Freigabe von Hand. Die Kette hat also gehalten, aber niemand kam durch.

Dasselbe Image oeffnet ab Werk TCPSocket 3310. Darueber laeuft die
Anbindung jetzt; der Port ist im Stack nicht veroeffentlicht und nur im
internen Netz erreichbar. CLAMAV_ADDRESS nimmt weiterhin einen Pfad an,
falls irgendwo doch ein Unix-Socket erreichbar ist.

Das Socket-Volume faellt weg, es enthielt nie etwas. Der Scanner sieht
ausserdem die Dateiablage nicht mehr: uebertragen wird per INSTREAM durch
die Verbindung, gelesen hat er dort nie etwas.

Geprueft gegen ein laufendes clamd, einschliesslich EICAR. Diese Pruefung
bleibt als abschaltbarer Teil der Suite stehen:

  CLAMAV_LIVE=clamav:3310 pnpm --filter @afis/web test pruefkette

Die uebrigen neuen Pruefungen decken das Zerlegen der Adresse ab. Sie
haetten den Fehler nicht gefunden - eine Adresse, die auf nichts zeigt,
ist syntaktisch tadellos. Nur eine echte Verbindung beantwortet das.

web/tests/health.test.ts

@@ -8,7 +8,7 @@ vi.mock('@/lib/db', () => ({
 }))
 
 vi.mock('@/lib/env', () => ({
-  getEnv: () => ({ CLAMAV_SOCKET: '/var/run/clamav/clamd.sock' }),
+  getEnv: () => ({ CLAMAV_ADDRESS: 'clamav:3310' }),
 }))
 
 vi.mock('@/lib/files/clamav', () => ({ pingClamav: vi.fn(async () => true) }))

web/tests/pruefkette.test.ts

@@ -5,6 +5,7 @@ import sharp from 'sharp'
 import { db } from '@/lib/db'
 import { acceptUpload, loadDeliverable, releaseAttachment } from '@/lib/files/service'
 import { runCheckChain } from '@/lib/files/process'
+import { parseClamavAddress, pingClamav, scanBuffer } from '@/lib/files/clamav'
 import { absolutePath } from '@/lib/files/paths'
 import { AccessError } from '@/lib/errors'
 import type { EffectivePermissions, Permission } from '@/lib/auth/permissions'
@@ -19,6 +20,79 @@ import type { EffectivePermissions, Permission } from '@/lib/auth/permissions'
 const url = process.env.DIRECT_DATABASE_URL ?? process.env.DATABASE_URL
 const suite = url ? describe : describe.skip
 
+describe('Adresse des Virenscanners', () => {
+  /**
+   * Der Grund für diese Prüfungen: die Adresse stand als Pfad auf ein
+   * geteiltes Volume in der Konfiguration, das offizielle clamav-Image legt
+   * seinen Unix-Socket aber unter /tmp im eigenen Container an. Das
+   * Verzeichnis blieb leer, jeder Verbindungsversuch lief in ENOENT, und die
+   * Virenprüfung meldete sich dauerhaft als gestört. Ein Tippfehler in der
+   * Adresse darf nicht wieder still enden.
+   */
+  it('liest host:port', () => {
+    expect(parseClamavAddress('clamav:3310')).toEqual({ host: 'clamav', port: 3310 })
+    expect(parseClamavAddress(' 127.0.0.1:3310 ')).toEqual({ host: '127.0.0.1', port: 3310 })
+  })
+
+  it('lässt eine IPv6-Adresse heil', () => {
+    expect(parseClamavAddress('[::1]:3310')).toEqual({ host: '::1', port: 3310 })
+  })
+
+  it('erkennt einen Unix-Socket am Pfad', () => {
+    expect(parseClamavAddress('/tmp/clamd.sock')).toEqual({ path: '/tmp/clamd.sock' })
+  })
+
+  it('wirft bei Unsinn, statt still ins Leere zu greifen', () => {
+    for (const eingabe of ['clamav', 'clamav:', ':3310', 'clamav:0', 'clamav:99999', '']) {
+      expect(() => parseClamavAddress(eingabe), eingabe).toThrow()
+    }
+  })
+
+  it('meldet einen nicht erreichbaren Scanner als nicht erreichbar', async () => {
+    // Port 1 ist reserviert und lauscht nirgends. Kein Absturz, ein `false`.
+    expect(await pingClamav('127.0.0.1:1', 1000)).toBe(false)
+    expect(await pingClamav('/gibt/es/nicht.sock', 1000)).toBe(false)
+  })
+})
+
+/**
+ * Gegen einen laufenden Scanner. Standardmässig übersprungen, weil auf dem
+ * Entwicklungsrechner keiner läuft.
+ *
+ * Diese Prüfungen hätten den Fehler gefunden, den die obigen nicht finden
+ * konnten: eine Adresse, die auf nichts zeigt, ist syntaktisch tadellos. Nur
+ * eine echte Verbindung beantwortet die Frage, ob die Prüfkette wirklich hält.
+ *
+ *   CLAMAV_LIVE=clamav:3310 pnpm --filter @afis/web test pruefkette
+ */
+const live = process.env.CLAMAV_LIVE
+const liveSuite = live ? describe : describe.skip
+
+liveSuite('Gegen einen laufenden Scanner', () => {
+  it('antwortet auf die Anfrage', async () => {
+    expect(await pingClamav(live!, 5000)).toBe(true)
+  })
+
+  it('lässt harmlosen Inhalt durch', async () => {
+    expect(await scanBuffer(live!, Buffer.from('harmloser Text'))).toEqual({
+      ok: true,
+      clean: true,
+    })
+  })
+
+  it('erkennt die Testsignatur', async () => {
+    // EICAR ist kein Schadprogramm, sondern die vereinbarte Zeichenfolge, an
+    // der jeder Scanner anschlagen muss. Damit lässt sich prüfen, dass die
+    // Kette wirklich prüft und nicht nur eine Verbindung aufbaut.
+    const eicar = 'X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
+    expect(await scanBuffer(live!, Buffer.from(eicar))).toEqual({
+      ok: true,
+      clean: false,
+      signature: 'Eicar-Test-Signature',
+    })
+  })
+})
+
 const marke = `kette-${Date.now()}`
 
 function perms(