CVE-2023-34230
Açıklama
.NET için Snowflake Konnektörü olan snowflake-connector-net, 2.0.18 sürümünden önce SSO URL kimlik doğrulaması üzerinden komut enjeksiyonuna karşı savunmasızdır. Komut enjeksiyonu potansiyelini istismar etmek için bir saldırganın (1) kötü amaçlı bir kaynak oluşturmada ve (2) kullanıcıları bu kaynağı kullanmaya yönlendirmede başarılı olması gerekir. Saldırgan, SSO URL'sine bir saldırı yüküyle yanıt veren, herkese açık, kötü amaçlı bir sunucu kurabilir. Eğer saldırgan daha sonra bir kullanıcıyı kötü niyetle hazırlanmış bağlantı URL'sini ziyaret etmeye ikna ederse, kullanıcının yerel makinesi kötü amaçlı yükü çalıştıracak ve bu da uzaktan kod çalıştırmaya yol açacaktır. Bu saldırı senaryosu, URL beyaz listeye alma ve yaygın kimlik avı karşıtı kaynaklar aracılığıyla hafifletilebilir. 2.0.18 sürümü bu sorunu düzeltmektedir.
Nasıl düzeltilir
- snowflake snowflake_connector2.0.18 ya da sonraki bir sürüm
- Snowflake.Data2.0.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| snowflake snowflake_connector | v < 2.0.18 | 2.0.18 |
| Snowflake.DataNuGet | v < 2.0.18 | 2.0.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.