Уважаемые клиенты Altinity и пользователи ClickHouseⓇ. ИИ оказывает сильное давление на разработчиков программного обеспечения, выявляя ошибки и потенциальные уязвимости. ClickHouse не является исключением. Пожалуйста, выполните обновление как можно быстрее, чтобы устранить недавно обнаруженные проблемы:
- CVE-2026-111497 — уязвимость, затрагивающая декодер Brotli, который является сторонней зависимостью, используемой сервером ClickHouse, и может позволить специально сформированным запросам со сжатием Brotli приводить к сбоям в работе сервера ClickHouse. Она затрагивает все версии ClickHouse, начиная с 19.3.3
- CVE-2026-111943 и другие — компрометация центра сертификации, входящего в состав базовых образов Debian, используемых для сервера ClickHouse.
- CVE-2026-116366 — сервер ClickHouse при определенных условиях может позволить неаутентифицированному пользователю с сетевым доступом выполнять произвольный код на сервере ClickHouse. Детали CVE не будут раскрываться до 13 ноября.
Первые две проблемы были решены в следующих сборках Antalya.
- 26.6.8.20003.altinityantalya — ожидается 2 ноября.
Мы работаем над устранением последней проблемы в течение нескольких дней, поэтому следите за обновлениями.
Если вы используете официальный (upstream) ClickHouse, обновленные образы для всех проблем доступны в DockerHub, но релизы еще не были официально опубликованы:
- 26.3.62.3
- 26.8.36.3
- 26.9.27.3
- 26.10.3.7
Если вы используете версии программного обеспечения ClickHouse, не вошедшие в этот список, пожалуйста, обновитесь до официальной LTS-версии или сборки Altinity, чтобы получить исправление.
Мы выражаем благодарность команде безопасности ClickHouse Inc. за информирование и распространение исправлений CVE для обеспечения безопасности всех инсталляций ClickHouse.
Присоединяйтесь к нашему Slack
ClickHouse является зарегистрированным товарным знаком ClickHouse, Inc.; Altinity не связана с ClickHouse, Inc. и не аффилирована с ней.
Получайте последние новости ClickHouse прямо на свой почтовый ящик каждый месяц.
