> ## Documentation Index
> Fetch the complete documentation index at: https://clickhouse.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Changelog de segurança

> Changelog de segurança com detalhes sobre atualizações e mudanças relacionadas à segurança

<div id="fixed-in-clickhouse-release-2025-01-05">
  ## Corrigido no ClickHouse v25.1.5.5, 2025-01-05
</div>

<div id="CVE-2025-1385">
  ### [CVE-2025-1385](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-5phv-x8x4-83x5)
</div>

Quando o recurso de library bridge está habilitado, o clickhouse-library-bridge expõe uma API HTTP em localhost. Isso permite que o clickhouse-server carregue dinamicamente uma biblioteca a partir de um caminho especificado e a execute em um processo isolado. Em combinação com a funcionalidade de motores de tabela do ClickHouse, que permite o upload de arquivos para diretórios específicos, um servidor configurado incorretamente pode ser explorado por um invasor com privilégios para acessar ambos os motores de tabela, permitindo a execução de código arbitrário no servidor ClickHouse.

A correção foi incluída nas seguintes versões open-source: v24.3.18.6, v24.8.14.27, v24.11.5.34, v24.12.5.65, v25.1.5.5

O ClickHouse Cloud não é afetado por essa vulnerabilidade.

Créditos: [Arseniy Dugin](https://github.com/ZerLes)

<div id="fixed-in-clickhouse-release-2024-08-01">
  ## Corrigido no lançamento ClickHouse v24.5, 2024-08-01
</div>

<div id="CVE-2024-6873">
  ### [CVE-2024-6873](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-432f-r822-j66f)
</div>

É possível redirecionar o fluxo de execução do processo do servidor ClickHouse por meio de um vetor não autenticado, enviando uma requisição especialmente criada para a interface nativa do servidor ClickHouse. Esse redirecionamento se limita ao que estiver disponível em uma faixa de 256 bytes de memória no momento da execução. Essa vulnerabilidade foi identificada por meio do nosso programa de bug bounty, e nenhum código conhecido de Proof of Concept para Remote Code Execution (RCE) foi produzido ou explorado.

A correção foi disponibilizada nas seguintes versões open-source: v23.8.15.35-lts, v24.3.4.147-lts, v24.4.2.141-stable, v24.5.1.1763, v24.6.1.4423-stable

O ClickHouse Cloud usa um versionamento diferente, e uma correção para essa vulnerabilidade foi aplicada a todas as instâncias executando a v24.2 ou superior.

Créditos:  malacupa (pesquisador independente)

<div id="fixed-in-clickhouse-release-24-01-30">
  ## Corrigido no ClickHouse v24.1, 2024-01-30
</div>

<div id="CVE-2024-22412">
  ### [CVE-2024-22412](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-45h5-f7g3-gr8r)
</div>

Ao alternar entre funções de usuário ao usar o ClickHouse com o cache de consultas habilitado, existe o risco de obter dados incorretos. O ClickHouse recomenda que usuários de versões vulneráveis do ClickHouse não usem o cache de consultas quando a aplicação alterna dinamicamente entre diferentes funções.

A correção foi disponibilizada nas seguintes versões open-source: v24.1.1.2048, v24.1.8.22-stable, v23.12.6.19-stable, v23.8.12.13-lts, v23.3.22.3-lts

O ClickHouse Cloud usa um versionamento diferente, e a correção para essa vulnerabilidade foi aplicada na v24.0.2.54535.

Créditos: Evan Johnson e Alan Braithwaite, da equipe da Runreveal - mais informações estão disponíveis [neste post do blog deles](https://blog.runreveal.com/cve-2024-22412-behind-the-bug-a-classic-caching-problem-in-the-clickhouse-query-cache/).

<div id="fixed-in-clickhouse-release-23-10-5-20-2023-11-26">
  ## Corrigido no ClickHouse v23.10.5.20, 2023-11-26
</div>

<div id="CVE-2023-47118">
  ### [CVE-2023-47118](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-g22g-p6q2-x39v)
</div>

Uma vulnerabilidade de heap buffer overflow que afeta a interface nativa, executada por padrão na porta 9000/tcp. Um invasor, ao acionar um bug no codec de compressão T64, pode fazer com que o processo do servidor ClickHouse seja encerrado. Essa vulnerabilidade pode ser explorada sem necessidade de autenticação.

A correção foi disponibilizada nas seguintes versões open-source: v23.10.2.13, v23.9.4.11, v23.8.6.16, v23.3.16.7

O ClickHouse Cloud usa um versionamento diferente, e a correção para essa vulnerabilidade foi aplicada na v23.9.2.47475.

Créditos:  malacupa (pesquisador independente)

<div id="CVE-2023-48298">
  ### [CVE-2023-48298](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-qw9f-qv29-8938)
</div>

Uma vulnerabilidade de underflow de inteiro no codec de compressão FPC. Um invasor pode usá-la para fazer o processo do servidor ClickHouse falhar. Essa vulnerabilidade pode ser explorada sem necessidade de autenticação.

A correção foi incluída nas seguintes versões open-source: v23.10.4.25, v23.9.5.29, v23.8.7.24, v23.3.17.13.

O ClickHouse Cloud usa um versionamento diferente, e a correção para essa vulnerabilidade foi aplicada na v23.9.2.47475.

Créditos:  malacupa (pesquisador independente)

<div id="CVE-2023-48704">
  ### [CVE-2023-48704](https://github.com/ClickHouse/ClickHouse/security/advisories/GHSA-5rmf-5g48-xv63)
</div>

Uma vulnerabilidade de heap buffer overflow que afeta a interface nativa executada por padrão na porta 9000/tcp. Um invasor, ao acionar um bug no codec Gorilla, pode fazer com que o processo do servidor ClickHouse seja encerrado. Essa vulnerabilidade pode ser explorada sem necessidade de autenticação.

A correção foi disponibilizada nas seguintes versões open-source: v23.10.5.20, v23.9.6.20, v23.8.8.20, v23.3.18.15.

O ClickHouse Cloud adota um versionamento diferente, e uma correção para essa vulnerabilidade foi aplicada na v23.9.2.47551.

Créditos:  malacupa (pesquisador independente)

<div id="fixed-in-clickhouse-release-22-9-1-2603-2022-9-22">
  ## Corrigido na versão 22.9.1.2603 do ClickHouse, 2022-09-22
</div>

<div id="CVE-2022-44011">
  ### CVE-2022-44011
</div>

Foi descoberta uma vulnerabilidade de heap buffer overflow no servidor ClickHouse. Um usuário mal-intencionado com permissão para carregar dados no servidor ClickHouse poderia provocar a queda do servidor ClickHouse ao inserir um objeto CapnProto malformado.

A correção foi aplicada às versões 22.9.1.2603, 22.8.2.11, 22.7.4.16, 22.6.6.16, 22.3.12.19

Créditos: Kiojj (pesquisador independente)

<div id="CVE-2022-44010">
  ### CVE-2022-44010
</div>

Foi descoberta uma vulnerabilidade de heap buffer overflow no servidor ClickHouse. Um invasor poderia enviar uma solicitação HTTP especialmente criada ao Endpoint HTTP (em escuta na porta 8123 por padrão), causando um heap buffer overflow que faz o processo do servidor ClickHouse falhar. Esse ataque não requer autenticação.

A correção foi incluída nas versões 22.9.1.2603, 22.8.2.11, 22.7.4.16, 22.6.6.16, 22.3.12.19

Créditos: Kiojj (pesquisador independente)

<div id="fixed-in-clickhouse-release-21-10-2-215-2021-10-18">
  ## Corrigido no ClickHouse 21.10.2.15, 2021-10-18
</div>

<div id="cve-2021-43304">
  ### CVE-2021-43304
</div>

heap buffer overflow no codec de compressão LZ4 do ClickHouse ao processar uma consulta maliciosa. Não há verificação de que as operações de cópia no loop `LZ4::decompressImpl` e, em especial, a operação de cópia arbitrária `wildCopy<copy_amount>(op, ip, copy_end)` não excedam os limites do buffer de destino.

Créditos: Equipe de Pesquisa de Segurança da JFrog

<div id="cve-2021-43305">
  ### CVE-2021-43305
</div>

heap buffer overflow no codec de compressão LZ4 do ClickHouse ao analisar uma consulta maliciosa. Não há verificação de que as operações de cópia no loop `LZ4::decompressImpl` e, em especial, a operação de cópia arbitrária `wildCopy<copy_amount>(op, ip, copy_end)` não excedam os limites do buffer de destino. Esse problema é muito semelhante ao CVE-2021-43304, mas a operação de cópia vulnerável está em outra chamada de `wildCopy`.

Créditos: JFrog Security Research Team

<div id="cve-2021-42387">
  ### CVE-2021-42387
</div>

Leitura fora dos limites do heap no codec de compressão LZ4 do ClickHouse ao processar uma consulta maliciosa. Como parte do loop de LZ4::decompressImpl(), um valor sem sinal de 16 bits fornecido pelo usuário ('offset') é lido a partir dos dados comprimidos. Mais tarde, o offset é usado para determinar o comprimento de uma operação de cópia, sem verificar os limites superiores da origem dessa operação.

Créditos: JFrog Security Research Team

<div id="cve-2021-42388">
  ### CVE-2021-42388
</div>

Leitura fora dos limites do heap no codec de compressão LZ4 do ClickHouse durante o parsing de uma consulta maliciosa. Como parte do loop de LZ4::decompressImpl(), um valor sem sinal de 16 bits fornecido pelo usuário ('offset') é lido dos dados comprimidos. Posteriormente, o offset é usado no comprimento de uma operação de cópia, sem verificar os limites inferiores da origem dessa operação.

Créditos: JFrog Security Research Team

<div id="cve-2021-42389">
  ### CVE-2021-42389
</div>

Divisão por zero no codec de compressão Delta do ClickHouse ao processar uma consulta maliciosa. O primeiro byte do buffer comprimido é usado em uma operação de módulo sem antes verificar se é 0.

Créditos: Equipe de Pesquisa em Segurança da JFrog

<div id="cve-2021-42390">
  ### CVE-2021-42390
</div>

Divisão por zero no codec de compressão DeltaDouble do ClickHouse ao processar uma consulta maliciosa. O primeiro byte do buffer comprimido é usado em uma operação de módulo sem verificar se é 0.

Créditos: Equipe de Pesquisa em Segurança da JFrog

<div id="cve-2021-42391">
  ### CVE-2021-42391
</div>

Divisão por zero no codec de compressão Gorilla do ClickHouse ao processar uma consulta maliciosa. O primeiro byte do buffer compactado é usado em uma operação de módulo sem antes verificar se ele é 0.

Créditos: JFrog Security Research Team

<div id="fixed-in-clickhouse-release-21-4-3-21-2021-04-12">
  ## Corrigido no ClickHouse 21.4.3.21, 2021-04-12
</div>

<div id="cve-2021-25263">
  ### CVE-2021-25263
</div>

Um invasor com o privilégio CREATE DICTIONARY pode ler um arquivo arbitrário fora do diretório permitido.

A correção foi incluída nas versões 20.8.18.32-lts, 21.1.9.41-stable, 21.2.9.41-stable, 21.3.6.55-lts, 21.4.3.21-stable e posteriores.

Créditos: [Vyacheslav Egoshin](https://twitter.com/vegoshin)

<div id="fixed-in-clickhouse-release-19-14-3-3-2019-09-10">
  ## Corrigido no lançamento do ClickHouse 19.14.3.3, 2019-09-10
</div>

<div id="cve-2019-15024">
  ### CVE-2019-15024
</div>

Um invasor com acesso de escrita ao ZooKeeper e que consiga executar um servidor personalizado acessível na rede em que o ClickHouse está em execução pode criar um servidor malicioso que atuará como uma réplica do ClickHouse e registrá-lo no ZooKeeper. Quando outra réplica buscar uma parte de dados da réplica maliciosa, ela poderá forçar o clickhouse-server a gravar em um caminho arbitrário no sistema de arquivos.

Créditos: Eldar Zaitov da equipe de Segurança da Informação da Yandex

<div id="cve-2019-16535">
  ### CVE-2019-16535
</div>

Uma leitura OOB, uma escrita OOB e um underflow de inteiro em algoritmos de descompressão podem ser explorados para obter RCE ou causar DoS por meio do protocolo nativo.

Créditos: Eldar Zaitov, da equipe de Segurança da Informação da Yandex

<div id="cve-2019-16536">
  ### CVE-2019-16536
</div>

Um estouro de pilha que pode levar a DoS pode ser provocado por um cliente autenticado malicioso.

Créditos: Eldar Zaitov, da equipe de Segurança da Informação da Yandex

<div id="fixed-in-clickhouse-release-19-13-6-1-2019-09-20">
  ## Corrigido no lançamento 19.13.6.1 do ClickHouse, de 2019-09-20
</div>

<div id="cve-2019-18657">
  ### CVE-2019-18657
</div>

A função de tabela `url` tinha uma vulnerabilidade que permitia ao invasor injetar cabeçalhos HTTP arbitrários na requisição.

Créditos: [Nikita Tikhomirov](https://github.com/NSTikhomirov)

<div id="fixed-in-clickhouse-release-18-12-13-2018-09-10">
  ## Corrigido no lançamento 18.12.13 do ClickHouse, 2018-09-10
</div>

<div id="cve-2018-14672">
  ### CVE-2018-14672
</div>

Funções para carregar modelos CatBoost permitiam path traversal e a leitura de arquivos arbitrários por meio de mensagens de erro.

Créditos: Andrey Krasichkov, da equipe de Segurança da Informação da Yandex

<div id="fixed-in-clickhouse-release-18-10-3-2018-08-13">
  ## Corrigido no lançamento 18.10.3 do ClickHouse, 2018-08-13
</div>

<div id="cve-2018-14671">
  ### CVE-2018-14671
</div>

O unixODBC permitia carregar bibliotecas compartilhadas arbitrárias do sistema de arquivos, o que levou a uma vulnerabilidade de execução remota de código.

Créditos: Andrey Krasichkov e Evgeny Sidorov, da equipe de Segurança da Informação da Yandex

<div id="fixed-in-clickhouse-release-1-1-54388-2018-06-28">
  ## Corrigido no Lançamento do ClickHouse 1.1.54388, 2018-06-28
</div>

<div id="cve-2018-14668">
  ### CVE-2018-14668
</div>

A função de tabela "remote" permitia caracteres arbitrários nos campos "user", "password" e "default\_database", o que levou a ataques de falsificação de requisições entre protocolos.

Créditos: Andrey Krasichkov da equipe de Segurança da Informação da Yandex

<div id="fixed-in-clickhouse-release-1-1-54390-2018-07-06">
  ## Corrigido no lançamento do ClickHouse 1.1.54390, 2018-07-06
</div>

<div id="cve-2018-14669">
  ### CVE-2018-14669
</div>

O cliente MySQL do ClickHouse tinha a funcionalidade "LOAD DATA LOCAL INFILE" habilitada, o que permitia que um banco de dados MySQL malicioso lesse arquivos arbitrários no servidor ClickHouse conectado.

Créditos: Andrey Krasichkov e Evgeny Sidorov, da equipe de Segurança da Informação da Yandex

<div id="fixed-in-clickhouse-release-1-1-54131-2017-01-10">
  ## Corrigido no lançamento do ClickHouse 1.1.54131, 2017-01-10
</div>

<div id="cve-2018-14670">
  ### CVE-2018-14670
</div>

Uma configuração incorreta no pacote deb pode levar ao uso não autorizado do banco de dados.

Créditos: National Cyber Security Centre (NCSC) do Reino Unido