Vulnerabilidad en ClickHouse (CVE-2024-22412)

ClickHouse es un sistema de gestión de bases de datos orientado a columnas de código abierto. Existe un error en la oferta de nube de ClickHouse anterior a la versión 24.0.2.54535 y en github.com/clickhouse/clickhouse versión 23.1. El almacenamiento en caché de consultas evita los controles de acceso basados en roles y las políticas que se aplican a los roles. En las versiones afectadas, la caché de consultas solo respeta a usuarios separados; sin embargo, esto no está documentado ni es un comportamiento esperado. Las personas que dependen de roles de ClickHouse pueden evitar sus listas de control de acceso si utilizan el almacenamiento en caché de consultas. Los atacantes que tienen control de una función podrían adivinar consultas y ver datos a los que no deberían tener acceso. La versión 24.1 de ClickHouse y la versión 24.0.2.54535 de ClickHouse Cloud contienen un parche para este problema. Según la documentación, se debe aplicar el control de acceso basado en roles independientemente de si el almacenamiento en caché de consultas está habilitado o no.