CVE-2024-23689

WysokieCVSS 8.8

Opublikowano: 19/01/2024(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.67%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

Podatność w bibliotekach ClickHouse (clickhouse-r2dbc, clickhouse-jdbc, clickhouse-client) w wersjach przed 0.4.6 ujawnia poufne informacje w wyjątkach. Gdy określono parametr 'sslkey' i wystąpi wyjątek (np. ClickHouseException lub SQLException), hasło do certyfikatu klienta jest dołączane do komunikatu błędu, co pozwala nieautoryzowanym użytkownikom na jego przechwycenie.

Ocena ryzyka

Ryzyko polega na wycieku hasła certyfikatu klienta do logów błędów, co może umożliwić atakującemu dostęp do zasobów chronionych tym certyfikatem, w tym do baz danych ClickHouse.

Rekomendacja

Należy niezwłocznie zaktualizować biblioteki clickhouse-r2dbc, clickhouse-jdbc i clickhouse-client do wersji 0.4.6 lub nowszej. Dodatkowo, zaleca się przegląd logów pod kątem wycieku haseł i ich rotację.

Inne podatności w ClickHouse

CVE-2026-51992Niskie ryzyko· EPSS 41%
Ten identyfikator CVE został odrzucony lub wycofany przez CVE Numbering Authority. Integracja PostgreSQL w ClickHouse celowo pozwala użytkownikom z prawidłowymi poświadczeniami PostgreSQL na wykonywanie zapytań do zdalnego serwera PostgreSQL. Nie jest wykorzystywana żadna podatność w ClickHouse; wykonanie kodu następuje na docelowym serwerze PostgreSQL przy użyciu poświadczeń jawnie podanych przez użytkownika z określonym uprawnieniem pg_execute_server_program, wykorzystując funkcję, która została błędnie zgłoszona jako CVE-2019-9193 w PostgreSQL.

Oryginalny opis (angielski, źródło NVD)

Exposure of sensitive information in exceptions in ClichHouse's clickhouse-r2dbc, com.clickhouse:clickhouse-jdbc, and com.clickhouse:clickhouse-client versions less than 0.4.6 allows unauthorized users to gain access to client certificate passwords via client exception logs. This occurs when 'sslkey' is specified and an exception, such as a ClickHouseException or SQLException, is thrown during database operations; the certificate password is then included in the logged exception message.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS