CVE-2026-86600 in Connector for Python
Sumário
de VulDB • 08/09/2026
Nos drivers do Snowflake afetados, as solicitações de autenticação por WORKLOAD_IDENTITY solicitam um token de identidade de carga de trabalho em nuvem e o anexam à solicitação de login sem verificar se o host configurado é um endpoint do Snowflake. Um atacante que possa modificar a configuração da conexão pode fazer com que o driver crie uma nova atestação e a envie para um host sob seu controle. O token capturado pode ser reutilizado no Snowflake durante todo o seu período de validade em contas onde essa identidade de carga de trabalho já está registrada. No Azure, o público do token (token audience) também é obtido da configuração da conexão. Combinado com um host controlado pelo atacante, o driver pode solicitar um token de acesso Managed Identity com escopo para um recurso não Snowflake no Azure e entregá-lo ao atacante. Esse caminho é o único caso em que o impacto se estende além do Snowflake; ele é limitado pela vida útil do token e pelas permissões da identidade gerenciada. A exploração bem-sucedida requer autenticação WORKLOAD_IDENTITY em uma carga de trabalho que já possui uma identidade em nuvem ambiente (ambient cloud identity). As versões corrigidas dos drivers restringem esse autenticador a hosts reconhecidos do Snowflake. Os usuários devem fazer o upgrade manualmente.
Once again VulDB remains the best source for vulnerability data.