Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-190

CVE-2026-116366

ClickHouse Server kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma açığı

ClickHouseClickHouse Cloud

Kritik 9,5 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
ClickHouse

Yönetici özeti

Bu açık, veritabanı sunucularını kimlik doğrulaması olmadan uzaktan ele geçirilebilir hale getirebilir ve kritik seviyede bir risk taşır. Etkilenen sistemlerin hemen güncellenmesi, işletme verilerinin gizliliği ve bütünlüğü açısından acil bir önceliktir.

ÖzetTürkçe

ClickHouse Server'da belirli koşullar altında ortaya çıkan bir sorun, ağa erişimi olan kimliği doğrulanmamış bir kullanıcının sunucu üzerinde keyfi kod çalıştırmasına olanak tanıyabilir. Açık, ClickHouse Server'ın etkilenen sürümlerini ve ClickHouse Cloud'un ilgili sürümlerini kapsamaktadır. Sorunun kök nedeni CWE-190 (tamsayı taşması) olarak sınıflandırılmıştır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan hedef sunucu üzerinde keyfi kod çalıştırabilir; bu da veritabanındaki verilerin okunmasını, değiştirilmesini veya sunucunun tamamen ele geçirilmesini mümkün kılabilir.

Kaynaktaki açıklama (İngilizce)

An issue has been discovered in ClickHouse Server that, under certain conditions, could allow an unauthenticated user with network access to execute arbitrary code on the ClickHouse Server.

Ne yapmalı?

  1. ClickHouse Server'ı, etkilenen sürüm dalınıza uygun düzeltilmiş sürüme yükseltin: 26.3 dalında 26.3.62.3-lts, 26.8 dalında 26.8.36.3-lts, 26.9 dalında 26.9.27.3-stable, 26.10 dalında 26.10.3.7-stable. Üretici
  2. ClickHouse Cloud kullanıyorsanız, hizmetinizin sürümünün düzeltilmiş bir sürüme (25.12.1.1713, 26.2.1.835, 26.4.1.2704, 26.6.1.2439, 26.8.1.597 veya 26.10.2.84) denk geldiğini kontrol edin. Üretici
  3. Güncelleme yapılana kadar ClickHouse sunucusuna erişimi yalnızca güvenilen ağ bölgeleriyle sınırlandırın ve sunucuyu internete doğrudan açık bırakmayın. Genel öneri

Ek önlemler

  • ClickHouse sunucu erişim kayıtlarını ve olağandışı süreç veya ağ etkinliğini izleyin. Genel öneri
  • Veritabanı sunucusunu en az yetkili hesaplarla çalıştırın ve gereksiz ağ portlarını kapatın. Genel öneri
  • Güncelleme sonrasında kullanılan sürümü doğrulayarak düzeltmenin gerçekten uygulandığından emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
ClickHouse ≥ 26.3, < 26.3.62.3-lts 26.3.62.3-lts
≥ 26.8, < 26.8.36.3-lts 26.8.36.3-lts
≥ 26.9, < 26.9.27.3-stable 26.9.27.3-stable
≥ 26.10, < 26.10.3.7-stable 26.10.3.7-stable
ClickHouse Cloud ≥ 25.12, < 25.12.1.1713 25.12.1.1713
≥ 26.2, < 26.2.1.835 26.2.1.835
≥ 26.4, < 26.4.1.2704 26.4.1.2704
≥ 26.6, < 26.6.1.2439 26.6.1.2439
≥ 26.8, < 26.8.1.597 26.8.1.597
≥ 26.10, < 26.10.2.84 26.10.2.84

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.