CVE-2026-15925 in Connector for Python
요약
\~에 의해 VulDB • 2026. 07. 16.
Python용 Snowflake Connector의 4.7.1 이전 버전에서는 TLS 호스트 이름 검증이 부적절하게 구현되어, 네트워크 위치에 있는 공격자가 커넥터가 수행하는 HTTPS 연결에서 인증서 호스트 이름 검증을 우회할 수 있었습니다. 경로 상(network-positioned)에 위치한 공격자는 네트워크 트래픽을 가로채거나 리디렉션하고 신뢰할 수 있는 CA(인증 기관)가 서명한 임의 도메인에 대한 인증서를 제시함으로써 이 취약점을 악용하여, 커넥터로 하여금 요청된 호스트 이름과 인증서가 일치하는지 검증하지 않고 연결을 수용하도록 할 수 있습니다. 성공적인 공격에는 경로 상 트래픽 가로채기 기능(예: ARP/DNS 포이즈닝, 위조 액세스 포인트, BGP 하이재킹 또는 악성 프록시/종료 노드)이 필요합니다. 이 취약점으로 인해 자격 증명, 쿼리 데이터 및 스테이지된 파일 내용이 가로차고 변조될 수 있었으며, 공격자가 피해자의 커넥터 세션 컨텍스트 내에서 임의 SQL을 실행할 수도 있었습니다. 영향은 영향을 받는 Snowflake 역할의 권한에 의해 제한됩니다. 수정 프로그램은 Python용 Snowflake Connector 버전 4.7.1에서 사용할 수 있습니다. 사용자는 수동으로 업그레이드해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.