PT-2021-6811 · Yandex+1 · Clickhouse+1

Xi-Tauw · Publicado 2021-04-12 · Atualizado 2023-08-08 · CVE-2021-25263

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do ClickHouse anteriores à v20.8.18.32-lts

Versões do ClickHouse anteriores à v21.1.9.41-stable

Versões do ClickHouse anteriores à v21.2.9.41-stable

Versões do ClickHouse anteriores à v21.3.6.55-lts

Versões do ClickHouse anteriores à v21.4.3.21-stable

Versões do Yandex Browser para Windows anteriores à 21.9.0.390

Descrição

A vulnerabilidade está relacionada à divulgação de informações e permite que um invasor remoto acesse dados confidenciais. Ela também envolve uma vulnerabilidade de privilégios locais que permite que um invasor local com privilégios limitados execute código arbitrário com privilégios de SISTEMA ao manipular arquivos em um diretório com permissões inseguras durante o processo de atualização do Yandex Browser. Um invasor com privilégio CREATE DICTIONARY pode ler arquivos arbitrários fora do diretório permitido.

Recomendações

Para versões do ClickHouse anteriores à v20.8.18.32-lts, atualize para a versão v20.8.18.32-lts ou posterior.

Para versões do ClickHouse anteriores à v21.1.9.41-stable, atualize para a versão v21.1.9.41-stable ou posterior.

Para versões do ClickHouse anteriores à v21.2.9.41-stable, atualize para a versão v21.2.9.41-stable ou posterior.

Para versões do ClickHouse anteriores à v21.3.6.55-lts, atualize para a versão v21.3.6.55-lts ou posterior.

Para versões do ClickHouse anteriores à v21.4.3.21-stable, atualize para a versão v21.4.3.21-stable ou posterior.

Para versões do Yandex Browser para Windows anteriores à 21.9.0.390, atualize para a versão 21.9.0.390 ou posterior.

Como solução alternativa temporária, considere restringir o privilégio CREATE DICTIONARY

Correção

Information Disclosure

Incorrect Permission

Enumeração de Fraquezas

CWE-200

CWE-732

Identificadores relacionados

BDU:2022-02234

CVE-2021-25263

Produtos afetados

Clickhouse

Yandex Browser

Referências · 9

• https://github.com/ClickHouse/ClickHouse/pull/22822 · Nota
• https://osv.dev/vulnerability/CVE-2021-25263 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-25263 · Nota de Segurança
• https://t.me/cvenotify/19540 · Publicação no Telegram
• https://t.me/cvenotify/20063 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2021-25263 · Aviso do Fabricante
• https://clickhouse.com/docs/en/whats-new/security-changelog/#fixed-in-clickhouse-release-21-4-3-21-2021-04-12 · Nota
• https://bdu.fstec.ru/vul/2022-02234 · Nota de Segurança
• https://yandex.com/bugbounty/i/hall-of-fame-browser · Aviso do Fabricante