ClickHouse sunucusunda belirli koşullarda giriş yapmadan kod çalıştırmaya izin veren kritik açık kapatıldı

Açık kaynak veritabanı ClickHouse, 30 Ekim’de güvenlik değişiklik kaydında sunucusundaki CVE-2026-116366’nın kapatıldığını duyurdu. ClickHouse’a göre açık, belirli koşullarda, sunucuya ağ erişimi olan ve kimliği doğrulanmamış bir kullanıcının ClickHouse sunucusunda kod çalıştırmasına izin verebiliyor. Açığın CVE kaydı aynı gün yayımlandı ve CVSS 4.0 ölçeğinde 9.5 puan aldı.

Açık hakkında bilinenler

CVE kaydına göre açık bir tamsayı taşmasından (integer overflow) kaynaklanıyor. Kayıttaki puanlamaya göre saldırı ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi olmadan yapılabiliyor, ancak saldırının karmaşıklığı yüksek. Puanlamaya göre başarılı bir saldırı hem sunucunun hem de ona bağlı sistemlerin gizliliğini, bütünlüğünü ve erişilebilirliğini yüksek düzeyde etkileyebiliyor.

ClickHouse, açığın hangi bileşende olduğunu ve hangi koşullarda kullanılabildiğini açıklamadı. Açığı bildiren kişi olarak Elshad Toklayev gösteriliyor. CVE kaydındaki CISA değerlendirmesine göre 30 Ekim itibarıyla açığın saldırılarda kullanıldığı bilinmiyor.

Etkilenen ve düzeltilmiş sürümler

• Açık kaynak ClickHouse’ta düzeltme 26.3.62.3-lts, 26.8.36.3-lts, 26.9.27.3-stable ve 26.10.3.7-stable sürümlerinde. CVE kaydına göre 26.3, 26.8, 26.9 ve 26.10 dallarının bu sürümlerden önceki sürümleri etkileniyor.
• ClickHouse Cloud ve BYOC kurulumlarında düzeltme ClickHouse tarafından uygulandı.

Önerilen önlemler

Kendi sunucusunda ClickHouse çalıştıranların kullandıkları dal için düzeltilmiş sürüme geçmesi gerekiyor. ClickHouse’un duyurusunda geçici bir önlem yer almıyor.