thevar1able/ClickHouse
1
0
Fork 0
mirror of https://github.com/ClickHouse/ClickHouse.git synced 2024-11-14 03:25:15 +00:00
Code Issues Packages Projects Releases Wiki Activity
e45f03215f
ClickHouse/docs/ru/security_changelog.md

64 lines
5.0 KiB
Markdown
Raw Normal View History

update security changelog
2020-01-09 09:52:40 +00:00
## Исправлено в релизе 19.14.3.3, 2019-09-10
### CVE-2019-15024
Update security_changelog.md
2020-01-09 15:15:42 +00:00
Злоумышленник с доступом на запись к ZooKeeper и возможностью запустить собственный сервер в сети доступной ClickHouse может создать вредоносный сервер, который будет вести себя как реплика ClickHouse и зарегистрируется в ZooKeeper. В процессе репликации вредоносный сервер может указать любой путь на файловой системе в который будут записаны данные.
update security changelog
2020-01-09 09:52:40 +00:00
Update security_changelog.md
2020-01-09 15:16:15 +00:00
Обнаружено благодаря: Эльдару Заитову из Службы Информационной Безопасности Яндекса
update security changelog
2020-01-09 09:52:40 +00:00
### CVE-2019-16535
Интерфейс декомпрессии позволял совершать OOB чтения и записи данных в памяти, а также переполнение целочисленных переменных, что могло приводить к отказу в обслуживании. Также потенциально могло использоваьтся для удаленного выполнения кода.
Update security_changelog.md
2020-01-09 15:16:15 +00:00
Обнаружено благодаря: Эльдару Заитову из Службы Информационной Безопасности Яндекса
update security changelog
2020-01-09 09:52:40 +00:00
### CVE-2019-16536
Аутентифицированный клиент злоумышленника имел возможность вызвать переполнение стека, что могло привести к отказу в обслуживании.
Update security_changelog.md
2020-01-09 15:16:15 +00:00
Обнаружено благодаря: Эльдару Заитову из Службы Информационной Безопасности Яндекса
update security changelog
2020-01-09 09:52:40 +00:00
Update security changelog
2019-10-29 11:51:25 +00:00
## Исправлено в релизе 19.13.6.1 от 20 сентября 2019
Add CVE number for latest fix
2019-11-01 08:54:41 +00:00
### CVE-2019-18657
Update security changelog
2019-10-29 11:51:25 +00:00
Уязвимость в табличной функции `url` позволяла злоумышленнику добавлять произвольные HTTP-заголовки в запрос.
Обнаружено благодаря: [Никите Тихомирову](https://github.com/NSTikhomirov)
Update security changelog (RUS) (#4468)
2019-02-21 10:11:47 +00:00
## Исправлено в релизе 18.12.13 от 10 сентября 2018
### CVE-2018-14672
Функция для загрузки CatBoost моделей некорректно обрабатывала пути к файлам, что позволяло читать произвольные локальные файлы на сервере Clickhouse через сообщения об ошибках.
Обнаружено благодаря: Андрею Красичкову из Службы Информационной Безопасности Яндекса
## Исправлено в релизе 18.10.3 от 13 августа 2018
### CVE-2018-14671
unixODBC позволял указать путь для подключения произвольного shared object в качестве драйвера базы данных, что приводило к возможности выполнить произвольный код на сервере ClickHouse.
Обнаружено благодаря: Андрею Красичкову и Евгению Сидорову из Службы Информационной Безопасности Яндекса
update security changelog
2020-01-09 09:52:40 +00:00
## Исправлено в релизе 1.1.54388 от 28 июня 2018
WIP on docs (#2819) * Some improvements for introduction/performance.md * Minor improvements for example_datasets * Add website/package-lock.json to .gitignore * YT paragraph was badly outdated and there is no real reason to write a new one * Use weird introduction article as a starting point for F.A.Q. * Some refactoring of first half of ya_metrika_task.md * minor * Weird docs footer bugfix * Forgotten redirect * h/v scrollbars same size in docs * CLICKHOUSE-3831: introduce security changelog * A bit more narrow tables on docs front page
2018-08-07 12:06:41 +00:00
### CVE-2018-14668
Табличная функция "remote" допускала произвольные символы в полях "user", "password" и "default_database", что позволяло производить атаки класса Cross Protocol Request Forgery.
Обнаружено благодаря: Андрею Красичкову из Службы Информационной Безопасности Яндекса
## Исправлено в релизе 1.1.54390 от 6 июля 2018
### CVE-2018-14669
В ClickHouse MySQL клиенте была включена функциональность "LOAD DATA LOCAL INFILE", что позволяло получать доступ на чтение к произвольным файлам на сервере, где запущен ClickHouse.
Обнаружено благодаря: Андрею Красичкову и Евгению Сидорову из Службы Информационной Безопасности Яндекса
## Исправлено в релизе 1.1.54131 от 10 января 2017
### CVE-2018-14670
Fix typos
2019-08-23 10:55:34 +00:00
Некорректная конфигурация в deb пакете могла привести к неавторизованному доступу к базе данных.
WIP on docs (#2819) * Some improvements for introduction/performance.md * Minor improvements for example_datasets * Add website/package-lock.json to .gitignore * YT paragraph was badly outdated and there is no real reason to write a new one * Use weird introduction article as a starting point for F.A.Q. * Some refactoring of first half of ya_metrika_task.md * minor * Weird docs footer bugfix * Forgotten redirect * h/v scrollbars same size in docs * CLICKHOUSE-3831: introduce security changelog * A bit more narrow tables on docs front page
2018-08-07 12:06:41 +00:00
WIP on docs/website (#3383) * CLICKHOUSE-4063: less manual html @ index.md * CLICKHOUSE-4063: recommend markdown="1" in README.md * CLICKHOUSE-4003: manually purge custom.css for now * CLICKHOUSE-4064: expand <details> before any print (including to pdf) * CLICKHOUSE-3927: rearrange interfaces/formats.md a bit * CLICKHOUSE-3306: add few http headers * Remove copy-paste introduced in #3392 * Hopefully better chinese fonts #3392 * get rid of tabs @ custom.css * Apply comments and patch from #3384 * Add jdbc.md to ToC and some translation, though it still looks badly incomplete * minor punctuation * Add some backlinks to official website from mirrors that just blindly take markdown sources * Do not make fonts extra light * find . -name '*.md' -type f | xargs -I{} perl -pi -e 's//g' {} * find . -name '*.md' -type f | xargs -I{} perl -pi -e 's/ sql/g' {} * Remove outdated stuff from roadmap.md * Not so light font on front page too * Refactor Chinese formats.md to match recent changes in other languages
2018-10-16 10:47:17 +00:00
Обнаружено благодаря: the UK's National Cyber Security Centre (NCSC)
[Оригинальная статья](https://clickhouse.yandex/docs/ru/security_changelog/) <!--hide-->
Reference in New Issue Copy Permalink