Meerdere gebreken ontdekt in ClickHouse OLAP-databasesysteem voor big data

Base de datos OLAP de ClickHouse Nachrichten

Onderzoekers hebben zeven nieuwe beveiligingsproblemen onthuld in een open-source databasebeheersysteemoplossing genaamd ClickHouse die kunnen worden bewapend om de servers te laten crashen, geheugeninhoud te lekken en zelfs te leiden tot de uitvoering van willekeurige code.

“De kwetsbaarheden vereisen authenticatie, maar kunnen worden geactiveerd door elke gebruiker met leesrechten,” Uriya Yavnieli en Or Peles, onderzoekers van DevSecOps-firma JFrog, zei in een dinsdag gepubliceerd rapport.

“Dit betekent dat de aanvaller verkenningen moet uitvoeren op het specifieke ClickHouse-serverdoel om geldige inloggegevens te verkrijgen. Elke set inloggegevens is voldoende, aangezien zelfs een gebruiker met de laagste rechten alle kwetsbaarheden kan activeren.”

De lijst met zeven gebreken staat hieronder:

  • CVE-2021-43304 en CVE-2021-43305 (CVSS-scores: 8,8) – Heapbufferoverloopfouten in de LZ4-compressiecodec die kunnen leiden tot uitvoering van externe code
  • CVE-2021-42387 en CVE-2021-42388 (CVSS-scores: 7,1) – Stapel out-of-bounds leesfouten in de LZ4-compressiecodec op die kunnen leiden tot denial-of-service of informatielekkage
  • CVE-2021-42389 (CVSS-score: 6.5) – Een fout in de Delta-compressiecodec die kan leiden tot een denial-of-service-toestand
  • CVE-2021-42390 (CVSS-score: 6.5) – Een fout in de DeltaDouble-compressiecodec die kan leiden tot een denial-of-service-toestand
  • CVE-2021-42391 (CVSS-score: 6.5) – Een fout in de compressiecodec van Gorilla die kan leiden tot een denial-of-service-toestand

Een aanvaller kan profiteren van elk van de bovengenoemde fouten door een speciaal vervaardigd gecomprimeerd bestand te gebruiken om een ​​kwetsbare databaseserver te laten crashen. ClickHouse-gebruikers wordt aangeraden te upgraden naar versie “v21.10.2.15-stabiel” of later om de problemen te verminderen.

De bevindingen komen een maand nadat JFrog details bekendmaakte van een zeer ernstige beveiligingskwetsbaarheid in Apache Cassandra (CVE-2021-44521, CVSS-score: 8,4) die, indien niet geadresseerd, zou kunnen worden misbruikt om externe code-uitvoering (RCE) op getroffen installaties.

David
Rate author
Hackarizona