CVE-2026-86597
Açıklama
Snowflake Python, Go, JDBC, Node.js, PHP PDO ve ODBC sürücülerinde hassas bilgilerin günlük dosyalarına eklenmesi; mevcut günlük gizleme işleminin etkilenen tüm günlük yollarını ve veri türlerini kapsamadığı durumlarda kimlik doğrulama belirteçlerinin, sorgu sonucu şifreleme anahtarlarının, önceden imzalanmış bulut depolama URL'lerinin ve SAML iddialarının tanısal günlüklere yazılmasına izin vermekteydi. Yerel dosya sistemi, bir günlük toplama hizmeti veya bir CI/CD artefakt deposu gibi günlük hedefine okuma erişimi olan bir saldırgan, erişim anında hala geçerli olmaları durumunda ilgili Snowflake hesabına veya bulut depolama nesnesine kimlik doğrulamak için kullanılabilecek kimlik bilgilerini ve şifre çözme anahtarlarını elde edebilirdi. Başarılı istismar için günlük hedefine okuma erişimi gereklidir ve etki, kimlik bilgisi ömrü ve nesne kapsamı ile sınırlıdır. Düzeltme; Snowflake Connector for Python v4.7.3, Snowflake Go Driver v2.2.0, Snowflake JDBC Driver v4.3.4 (snowflake-jdbc-fips ve snowflake-jdbc-thin dahil), Snowflake Node.js Driver v3.3.0, Snowflake PHP PDO Driver v4.2.0 ve Snowflake ODBC Driver v3.20.0 sürümlerinde mevcuttur. Kullanıcıların manuel olarak yükseltme yapmaları ve saklama zorunluluğu olmayan, hassas bilgiler içeren daha önce oluşturulmuş tanısal günlükleri güvenli bir şekilde silmeleri gerekir.
Nasıl düzeltilir
- snowflake-sdk3.3.0 ya da sonraki bir sürüm
- snowflake-connector-python4.7.3 ya da sonraki bir sürüm
- net.snowflake:snowflake-jdbc4.3.4 ya da sonraki bir sürüm
- net.snowflake:snowflake-jdbc-thin4.3.4 ya da sonraki bir sürüm
- net.snowflake:snowflake-jdbc-fips4.3.4 ya da sonraki bir sürüm
- github.com/snowflakedb/gosnowflake/v22.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| snowflake-sdknpm | v < 3.3.0 | 3.3.0 |
| snowflake-connector-pythonPyPI | v < 4.7.3 | 4.7.3 |
| github.com/snowflakedb/gosnowflakeGo | v ≤ 1.19.1, Aralık belirtilmemiş | — |
| net.snowflake:snowflake-jdbcMaven | v < 4.3.4 | 4.3.4 |
| net.snowflake:snowflake-jdbc-thinMaven | v < 4.3.4 | 4.3.4 |
| net.snowflake:snowflake-jdbc-fipsMaven | v < 4.3.4 | 4.3.4 |
| github.com/snowflakedb/gosnowflake/v2Go | v < 2.2.0 | 2.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.