CVE-2026-86600 in Connector for Python
要約
〜によって VulDB • 2026年09月08日
影響を受けるSnowflakeドライバでは、WORKLOAD_IDENTITY認証がクラウドワークロードアイデンティティのトークンを要求し、構成されたホストがSnowflakeのエンドポイントであることを検証せずにログインリクエストにそのトークンが付加されます。接続設定を変更できる攻撃者は、ドライバに対して新しいアテステーションを生成させ、自身が制御するホストへ送信させることができます。取得したトークンは、該当のワークロードアイデンティティが既に登録されているアカウントにおいて、Snowflakeへの再送（リプレイ）が可能で、トークンの有効期間中は利用できます。Azureでは、トークンオーディエンスも接続設定から取得されます。攻撃者が制御するホストと組み合わせることで、ドライバは非SnowflakeのAzureリソースを対象としたManaged Identityアクセストークンを要求し、それを攻撃者に渡すことができます。この経路が影響範囲をSnowflakeを超えて拡大させる唯一の場合であり、その影響はトークンの有効期間およびマネージドアイデンティティの権限によって制限されます。成功した悪用には、既に環境内のクラウドアイデンティティを持つワークロード上でWORKLOAD_IDENTITY認証が必要です。パッチ適用済みのドライババージョンでは、この認証子を認識されたSnowflakeホストに限定しています。ユーザーは手動でアップグレードする必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.