CVE-2026-19854
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Gdy plugin ClickHouse używa protokołu Native (domyślnego) z PDC lub bezpiecznym SOCKS, żąda TLS, ale biblioteka połączeniowa ignoruje to i komunikuje się z ClickHouse bez szyfrowania. Nazwa użytkownika, hasło, zapytania i wyniki mogą być odczytane na trasie po proxy. Certyfikat serwera nigdy nie jest sprawdzany, a skonfigurowany certyfikat klienta nie jest wysyłany.
Ocena ryzyka
Wrażliwe dane uwierzytelniające i treść zapytań mogą zostać przechwycone przez atakującego w sieci, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj plugin ClickHouse do wersji, która prawidłowo wymusza TLS, oraz upewnij się, że weryfikacja certyfikatów jest włączona.
Oryginalny opis (angielski, źródło NVD)
When the ClickHouse plugin uses Native protocol (the default) with PDC or secure SOCKS, it asks for TLS but the connection library ignores that and talks to ClickHouse in the clear. Username, password, queries, and results can be read on the hop after the proxy. The server certificate is never checked, and a configured client certificate is not sent.