CVE-2026-86600 in Connector for Python
الملخص
بحسب VulDB • 08/09/2026
في برامج تشغيل Snowflake المتأثرة، تطلب مصادقة WORKLOAD_IDENTITY رمز هوية عمل سحابي وتلصقه بطلب تسجيل الدخول دون التحقق من أن المضيف المُعدّ هو نقطة نهاية لـ Snowflake. يمكن لمهاجم قادر على تعديل تكوين الاتصال إقناع برنامج التشغيل بإنشاء شهادة جديدة (attestation) وإرسالها إلى مضيف يتحكم فيه المهاجم. ويمكن إعادة استخدام الرمز الذي تم التقاطه مع Snowflake طوال فترة صلاحيته المتبقية في الحسابات التي تكون فيها هوية العمل هذه مسجلة بالفعل. وعلى منصة Azure، يتم أيضًا أخذ جمهور الرمز (token audience) من تكوين الاتصال. وبمجرد اقترانه بمضيف يتحكم فيه المهاجم، يمكن لبرنامج التشغيل طلب رمز وصول لهوية مُدارة (Managed Identity) مخصص لمورد Azure غير Snowflake وتسليمه إلى المهاجم. يمثل هذا المسار الحالة الوحيدة التي يمتد فيها التأثير خارج نطاق Snowflake؛ وهو مقيد بفترة صلاحية الرمز وصلاحيات الهوية المُدارة. تتطلب الاستغلال الناجح استخدام مصادقة WORKLOAD_IDENTITY على عمل لديه بالفعل هوية سحابية محيطة (ambient cloud identity). تقيد إصدارات برامج التشغيل المصححة هذه المصادق بالمضيفين المعترف بهم من Snowflake. يجب على المستخدمين الترقية يدويًا.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.