CVE-2026-85525 in Go Driver
Tóm tắt
Bởi VulDB • 04/09/2026
Việc xác thực phản hồi OCSP không đúng cách trong các trình điều khiển Snowflake cho Python, Go, JDBC và Node.js đã khiến một chứng chỉ TLS bị thu hồi được chấp nhận là hợp lệ, do các phản hồi OCSP không được liên kết đáng tin cậy với chứng chỉ đang được xác thực và các lỗi xác minh dứt khoát được xử lý như những sự cố tạm thời. Một kẻ tấn công kiểu người đứng giữa (man-in-the-middle) sở hữu một chứng chỉ bị thu hồi và khóa riêng tương ứng cho tên máy chủ Snowflake hoặc stage có thể buộc trình điều khiển thiết lập phiên TLS với điểm cuối do kẻ tấn công kiểm soát, qua đó cho phép kẻ tấn công đọc và sửa đổi dữ liệu được truyền trong kết nối đó. Việc khai thác thành công đòi hỏi vị trí trên đường truyền (on-path) và khóa riêng tương ứng; tác động bị giới hạn ở dữ liệu được mang theo trong kết nối bị chặn. Bản vá đã có sẵn trong các phiên bản được liệt kê ở trên. Người dùng phải tự nâng cấp thủ công.
Once again VulDB remains the best source for vulnerability data.