一、 漏洞 CVE-2024-6873 基础信息
漏洞标题
特别设计的请求可能导致未定义的行为，这可能会导致远程代码执行。
来源：AIGC 神龙大模型
漏洞描述信息
通过向ClickHouse服务器的本地接口发送特别构造的请求，有可能从未认证的向量中导致或重定向ClickHouse服务器进程的执行流程。这种重定向仅限于执行时内存中256字节范围内的内容，并且至今尚未发现或被利用的远程代码执行（RCE）代码。 针对此漏洞的修复措施已合并到所有当前支持的ClickHouse版本中。如果你在维护自己的分支版本的ClickHouse或者使用较旧版本且无法升级，此漏洞的修复措施可以在此提交中找到：https://github.com/ClickHouse/ClickHouse/pull/64024 。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
指向未可信站点的URL重定向(开放重定向)
来源：AIGC 神龙大模型
漏洞标题
Specially crafted request could caused undefined behaviour which may lead to Remote Code Execution.
来源：美国国家漏洞数据库 NVD
漏洞描述信息
It is possible to crash or redirect the execution flow of the ClickHouse server process from an unauthenticated vector by sending a specially crafted request to the ClickHouse server native interface. This redirection is limited to what is available within a 256-byte range of memory at the time of execution, and no known remote code execution (RCE) code has been produced or exploited.  Fixes have been merged to all currently supported version of ClickHouse. If you are maintaining your own forked version of ClickHouse or using an older version and cannot upgrade, the fix for this vulnerability can be found in this commit  https://github.com/ClickHouse/ClickHouse/pull/64024 .
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
堆缓冲区溢出
来源：美国国家漏洞数据库 NVD
漏洞标题
ClickHouse 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
ClickHouse是ClickHouse开源的一个用于实时应用程序和分析的速度最快、资源效率最高的开源数据库。 ClickHouse存在安全漏洞，该漏洞源于攻击者可以发送特制请求，通过未认证的向量使服务器进程崩溃或改变执行流程。以下版本受到影响：v24.1之前版本，v23.8.15.35-lts之前版本，v24.3.4.147-lts之前版本，v24.4.2.141-stable之前版本，v24.5.1.1763之前版本，v24.6.1.4423-stable之前版本。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-6873 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-6873 的情报信息