CVE-2025-46326
Açıklama
snowflake-connector-net, .NET için Snowflake Connector'dır. 2.1.2 ile 4.4.1 arasındaki sürümler, bir Zaman Kontrolü ve Kullanım Zamanı (TOCTOU) yarış durumuna (race condition) karşı savunmasızdır. Linux ve macOS üzerinde Easy Logging özelliği kullanıldığında, Connector günlükleme yapılandırmasını kullanıcı tarafından sağlanan bir dosyadan okur. Linux ve macOS'ta Connector, yapılandırma dosyasının yalnızca sahibi tarafından yazılabileceğini doğrular. Bu kontrol, bir TOCTOU yarış durumuna karşı savunmasızdı ve dosya sahibinin Connector'ı çalıştıran kullanıcıyla eşleştiğini doğrulamada başarısız oldu. Bu durum, yapılandırma dosyasına veya dosyanın bulunduğu dizine yazma erişimi olan yerel bir saldırganın, yapılandırmayı üzerine yazarak günlükleme düzeyi ve çıktı konumu üzerinde kontrol sağlamasına izin verebilir. Bu sorun 4.4.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- snowflake snowflake_connector4.4.1 ya da sonraki bir sürüm
- Snowflake.Data4.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| snowflake snowflake_connector | 2.1.2 ≤ v < 4.4.1 | 4.4.1 |
| Snowflake.DataNuGet | 2.1.2 ≤ v < 4.4.1 | 4.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.