ClickHouse OLAP大数据数据库系统发现多个缺陷

研究人员在一个名为ClickHouse这可能会被武器化，导致服务器崩溃、内存内容泄漏，甚至导致执行任意代码。

DevSecOps公司JFrog的研究人员Uriya Yavnieli和/或Peles在周二发布的一份报告中说：“这些漏洞需要身份验证，但任何具有读取权限的用户都可能触发。”。

“这意味着攻击者必须对特定的ClickHouse服务器目标执行侦察，以获取有效的凭据。任何一组凭据都可以，因为即使是具有最低权限的用户也可以触发所有漏洞。”

• CVE-2021-43304和CVE-2021-43305（CVSS得分：8.8）和#8211；LZ4压缩编解码器中的堆缓冲区溢出缺陷可能导致远程代码执行
• CVE-2021-42387和CVE-2021-42388（CVSS得分：7.1）和#8211；LZ4压缩编解码器中的堆出边界读取缺陷可能导致拒绝服务或信息泄漏
• CVE-2021-42389（CVSS得分：6.5）和#8211；增量压缩编解码器中的一个除零缺陷，可能导致拒绝服务情况
• CVE-2021-42390（CVSS得分：6.5）和#8211；DeltaDouble压缩编解码器中的一个除零缺陷，可能导致拒绝服务情况
• CVE-2021-42391（CVSS得分：6.5）和#8211；Gorilla压缩编解码器中的一个除零漏洞，可能导致拒绝服务情况

攻击者可以利用上述任何缺陷，使用精心编制的压缩文件使易受攻击的数据库服务器崩溃。建议ClickHouse用户升级到“v21.10.2.15-stable”或更高版本以缓解问题。

一个月前，JFrog披露了Apache Cassandra（CVE-2021-44521，CVSS分数：8.4）中一个高严重性安全漏洞的详细信息，如果不解决该漏洞，可能会被滥用，从而在受影响的安装上获得远程代码执行（RCE）。