CVE-2026-86600 in Connector for Python
Resumen
por VulDB • 2026-09-08
En los controladores de Snowflake afectados, la autenticación WORKLOAD_IDENTITY solicita un token de identidad para cargas de trabajo en la nube y lo adjunta a la solicitud de inicio de sesión sin verificar que el host configurado sea un punto final (endpoint) de Snowflake. Un atacante que pueda modificar la configuración de conexión puede hacer que el controlador emita una nueva atestación y la envíe a un host bajo su control. El token capturado se puede reutilizar contra Snowflake durante toda su vigencia en cuentas donde esa identidad de carga de trabajo ya esté registrada. En Azure, también se obtiene la audiencia del token desde la configuración de conexión. Combinado con un host controlado por el atacante, el controlador puede solicitar un token de acceso para una Managed Identity (identidad administrada) dirigido a un recurso de Azure que no sea Snowflake y entregarlo al atacante. Este es el único caso en el que el impacto se extiende más allá de Snowflake; está limitado por la vida útil del token y los permisos de la identidad administrada. La explotación exitosa requiere autenticación WORKLOAD_IDENTITY en una carga de trabajo que ya tenga una identidad cloud ambiental (ambient). Las versiones parcheadas de los controladores restringen este authenticator a hosts reconocidos de Snowflake. Los usuarios deben actualizar manualmente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.