CVE-2021-42387

ClickHouse (versões afetadas não especificadas)

Existe uma falha de leitura fora dos limites da pilha (heap out-of-bounds) no codec de compressão LZ4 do ClickHouse ao analisar uma consulta maliciosa. O loop LZ4::decompressImpl() lê um valor de 16 bits sem sinal fornecido pelo usuário (offset) a partir dos dados compactados, que é posteriormente utilizado no comprimento de uma operação de cópia sem verificar os limites superiores da fonte da operação de cópia.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.