CVE-2026-86600 in Connector for Python
요약
\~에 의해 VulDB • 2026. 09. 08.
영향을 받는 Snowflake 드라이버에서 WORKLOAD_IDENTITY 인증은 클라우드 워크로드 ID 토큰을 요청하고, 구성된 호스트가 Snowflake 엔드포인트인지 확인하지 않고 로그인 요청에 이를 첨부합니다. 연결 구성을 수정할 수 있는 공격자는 드라이버로 하여금 새로운 증명을 발급받아 자신이 제어하는 호스트로 전송하도록 할 수 있습니다. 캡처된 토큰은 해당 워크로드 ID가 이미 등록된 계정에서 남은 유효 기간 동안 Snowflake에 재사용(replay)될 수 있습니다. Azure의 경우, 토큰 대상(Audience)도 연결 구성에서 가져옵니다. 공격자가 제어하는 호스트와 결합하면 드라이버는 비-Snowflake Azure 리소스에 대한 범위를 가진 Managed Identity 접근 토큰을 요청하여 공격자에게 전달할 수 있습니다. 이 경로가 Snowflake 외부로 영향이 확대되는 유일한 경우이며, 이는 토큰의 유효 기간과 managed identity의 권한에 의해 제한됩니다. 성공적인 악용에는 이미 환경적 클라우드 ID를 가진 워크로드에서 WORKLOAD_IDENTITY 인증이 필요합니다. 패치된 드라이버 버전은 이 authenticator를 인식된 Snowflake 호스트로 제한합니다. 사용자는 수동으로 업그레이드해야 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.