PT-2021-23610 · Unknown+4 · Clickhouse+3

Or Peles + 1 · Publicado 2021-10-18 · Atualizado 2025-06-25 · CVE-2021-42388

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H

Nome do software vulnerável e versões afetadas

ClickHouse (versões afetadas não especificadas)

Descrição

Existe uma falha de leitura fora dos limites da pilha no codec de compressão LZ4 do ClickHouse ao analisar uma consulta maliciosa. O loop LZ4::decompressImpl() lê um valor de 16 bits sem sinal fornecido pelo usuário (offset) a partir dos dados compactados. Esse offset é posteriormente utilizado no comprimento de uma operação de cópia sem verificar os limites inferiores da fonte da operação de cópia.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

ALT-PU-2022-1418

ALT-PU-2022-1601

ALT-PU-2022-1682

CVE-2021-42388

DLA-3176-1

USN-6933-1

Produtos afetados

Alt Linux

Clickhouse

Linuxmint

Ubuntu

Referências · 20

• 🔥 https://jfrog.com/blog/7-rce-and-dos-vulnerabilities-found-in-clickhouse-dbms · Exploit
• https://github.com/ClickHouse/ClickHouse/pull/27136 · Nota
• https://github.com/ClickHouse/ClickHouse/commit/6d83eacec42c7c403c99804a713a9d38caa4a45d · Nota
• https://github.com/ClickHouse/ClickHouse/commit/2aea1c8d4a5be320365472052d8a48bf69fd9fe9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-42388 · Nota de Segurança
• https://t.me/true_secator/2737 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-42388 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-42388 · Aviso do Fabricante
• https://t.me/nekaspersky/2001 · Publicação no Telegram
• https://ubuntu.com/security/notices/USN-6933-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-42388 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-42388 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-43305 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-6933-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-42388 · Nota de Segurança