CVE-2026-111441

Nel file src/gausskernel/cbb/utils/hll/hll.cpp di openGauss-server, la funzione incorporata HllObjectUnpack() presenta una vulnerabilità di verifica della lunghezza. La funzione, dopo aver analizzato lenUsed e lenTotal dal packed HLL fornito dall'utente, controlla solo che la lunghezza di input sia sufficiente a coprire HLL_HEAD_SIZE + lenUsed, quindi alloca un buffer basato su lenTotal e utilizza memcpy_s() per copiare l'input in base a lenUsed. Tuttavia, non verifica che lenTotal sia maggiore o uguale a lenUsed, e imposta la dimensione di destinazione di memcpy_s() su lenUsed anziché sulla reale dimensione allocata, ovvero lenTotal, consentendo così di bypassare i controlli di sicurezza e provocare scritture fuori limite. Le funzioni hll_in(), hll_print(), hll_cardinality() e altre funzioni di ingresso SQL seguono lo stesso percorso di decodifica. Di conseguenza, utenti connessi tramite normali connessioni al database possono creare un packed HLL malformato con lenTotal inferiore a lenUsed (ad esempio tramite ::hll in hll_in()), provocando un overflow di memoria nel server e potenzialmente portando a danni alla memoria. Questo problema è presente sin dalla funzione di unpacking del packed HLL, HllObjectUnpack(), a partire dalla versione 2.1.0. Le versioni interessate includono 2.1.0, 3.0.x, 3.1.x, 5.0.x, 5.1.0, 6.0.x, nonché le release candidate 7.0.0-RC1, 7.0.0-RC2 e 7.0.0-RC3. Il problema è stato risolto nella versione 7.0.0-LTS, introducendo un controllo in HllObjectUnpack() per verificare che lenUsed sia minore o uguale a lenTotal, e modificando la dimensione di destinazione di memcpy_s() per essere pari a quella realmente allocata, ovvero lenTotal. La patch di correzione è disponibile su https://gitcode.com/opengauss/openGauss-server/pull/9380.