主要 vulnerablity 情報 ClickHouse DBMS で RCE および DoS の脆弱性 7 件を発見 日付: 2022 年 3 月 15 日 著者: Oriya Yavniveli, JFrog セキュリティ研究チームリーダー 脆弱性情報 CVE-2021-43304 および CVE-2021-43305: LZ4 圧縮復号処理におけるヒープバッファオーバーフローの脆弱性。 CVE-2021-42387 および CVE-2021-42388: LZ4 ハッシュデコードにおけるヒープオーバーリージョン読み取りの脆弱性。 CVE-2021-42389: Delta 圧縮復号処理におけるゼロ除算の脆弱性。 CVE-2021-42390: DeltaDouble 圧縮復号処理におけるゼロ除算の脆弱性。 CVE-2021-42391: Gorilla 圧縮復号処理におけるゼロ除算の脆弱性。 脆弱性の影響 技術的背景 ClickHouse サーバーでは、ユーザーがクエリを圧縮することが可能です。 脆弱性の悪用 CVE-2021-43304: ヒープバッファオーバーフローの悪用。 CVE-2021-42388 および CVE-2021-42387: ヒープオーバーリージョン読み取りの悪用。 CVE-2021-42389、CVE-2021-42390 および CVE-2021-42391: ゼロ除算の悪用。 修正および緩和策 ClickHouse をバージョン v21.10.2.15-stable 以降に更新します。 アップグレードが不可能な場合、8123 および 9000 ポートへのアクセスを制限するファイアウォールルールを追加します。 結論 JFrog の製品自体はこの脆弱性の影響を受けません。これは、JFrog 製品が ClickHouse データベースを使用していないためです。