Vulnerabilidad en ClickHouse (CVE-2024-6873)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-122 Desbordamiento de búfer basado en memoria dinámica (Heap)

Fecha de publicación:

01/08/2024

Última modificación:

15/04/2026

Descripción

Es posible bloquear o redirigir el flujo de ejecución del proceso del servidor ClickHouse desde un vector no autenticado enviando una solicitud especialmente manipulada a la interfaz nativa del servidor ClickHouse. Esta redirección se limita a lo que está disponible dentro de un rango de memoria de 256 bytes en el momento de la ejecución, y no se ha producido ni explotado ningún código de ejecución remota de código (RCE) conocido. Las correcciones se han combinado en todas las versiones actualmente compatibles de ClickHouse. Si mantiene su propia versión bifurcada de ClickHouse o utiliza una versión anterior y no puede actualizar, la solución para esta vulnerabilidad se puede encontrar en esta confirmación https://github.com/ClickHouse/ClickHouse/pull/64024.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Referencias a soluciones, herramientas e información

https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-432f-r822-j66f