CVE-2026-85528 in JDBC Driver
Zusammenfassung
von VulDB • 04.09.2026
Eine unzulässige Eingabevalidierung der Kennungen für das Auto-Konfigurationskonto im Snowflake JDBC-Treiber, Versionen 4.2.0 bis 4.3.3, ermöglichte es, eine Anmeldeanfrage mit Anmeldedaten auf einen vom Angreifer ausgewählten HTTPS-Endpunkt umzuleiten. Ein Angreifer, der den Kontowert steuern kann, könnte dazu führen, dass der Treiber wiederverwendbare Anmeldedaten an einen von ihm gewählten Host überträgt und diese erneut verwendet, um die diesem Konto zugewiesenen Berechtigungen zu erlangen. Eine erfolgreiche Ausnutzung erfordert eine Anwendung, die jdbc:snowflake:auto mit einem connections.toml-Abschnitt verwendet, der keinen expliziten Host angibt, sowie ein Prinzipal mit geringerer Vertrauensstufe, das den Kontowert festlegen kann; gewöhnliche JDBC-URLs sind davon nicht betroffen. Die Korrektur ist in Snowflake JDBC-Treiber Version 4.3.4 verfügbar. Benutzer müssen manuell upgraden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.