PT-2021-23610

CVE-2021-42388

Publicado

2021-10-18

Atualizado

2025-06-25

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H

Nome do software vulnerável e versões afetadas

ClickHouse (versões afetadas não especificadas)

Descrição

Existe uma falha de leitura fora dos limites da pilha no codec de compressão LZ4 do ClickHouse ao analisar uma consulta maliciosa. O loop LZ4::decompressImpl() lê um valor de 16 bits sem sinal fornecido pelo usuário (offset) a partir dos dados compactados. Esse offset é posteriormente utilizado no comprimento de uma operação de cópia sem verificar os limites inferiores da fonte da operação de cópia.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Or Peles

Uriya Yavnieli

Fornecedores