Araştırmacılar, açık kaynaklı bir veritabanı yönetim sistemi çözümünde yedi yeni güvenlik açığını açıkladı. Tıklama Evi sunucuları çökertmek, bellek içeriklerini sızdırmak ve hatta rastgele kodun yürütülmesine yol açmak için silahlara dönüştürülebilir.
DevSecOps firması JFrog’dan araştırmacılar Uriya Yavnieli ve Or Peles, “Güvenlik açıkları kimlik doğrulama gerektiriyor, ancak okuma izinlerine sahip herhangi bir kullanıcı tarafından tetiklenebilir.” dedim Salı günü yayınlanan bir raporda.
“Bu, saldırganın geçerli kimlik bilgileri elde etmek için belirli ClickHouse sunucu hedefinde keşif yapması gerektiği anlamına gelir. En düşük ayrıcalıklara sahip bir kullanıcı bile tüm güvenlik açıklarını tetikleyebileceğinden, herhangi bir kimlik bilgisi kümesi işe yarar.”
Yedi kusurun listesi aşağıdadır –
- CVE-2021-43304 ve CVE-2021-43305 (CVSS puanları: 8.8) – LZ4 sıkıştırma codec bileşeninde uzaktan kod yürütülmesine yol açabilecek yığın arabellek taşması kusurları
- CVE-2021-42387 ve CVE-2021-42388 (CVSS puanları: 7.1) – LZ4 sıkıştırma kodeğinde hizmet reddine veya bilgi sızıntısına yol açabilecek sınır dışı yığın okuma kusurları
- CVE-2021-42389 (CVSS puanı: 6.5) – Delta sıkıştırma codec bileşeninde hizmet reddi durumuna neden olabilecek sıfıra bölme hatası
- CVE-2021-42390 (CVSS puanı: 6.5) – DeltaDouble sıkıştırma kodeğinde hizmet reddi durumuna neden olabilecek sıfıra bölme hatası
- CVE-2021-42391 (CVSS puanı: 6.5) – Gorilla sıkıştırma codec bileşeninde hizmet reddi durumuna neden olabilecek sıfıra bölme hatası
Saldırgan, güvenlik açığı bulunan bir veritabanı sunucusunu çökertmek için özel hazırlanmış sıkıştırılmış bir dosya kullanarak yukarıda belirtilen kusurlardan herhangi birinden yararlanabilir. ClickHouse kullanıcılarının sürüme yükseltmeleri önerilir “v21.10.2.15-kararlı” veya daha sonra sorunları azaltmak için.
Bulgular, JFrog’un Apache Cassandra’daki (CVE-2021-44521, CVSS puanı: 8.4) yüksek önemde bir güvenlik açığının ayrıntılarını açıklamasından bir ay sonra geldi; bu güvenlik açığı, ele alınmadığı takdirde etkilenen üzerinde uzaktan kod yürütme (RCE) elde etmek için kötüye kullanılabilir. kurulumlar.