🇰🇷 한글 설명
Snowflake Connector for Python의 특정 버전에서 로그 레벨을 DEBUG로 설정할 경우 Duo 패스코드, Azure SAS 토큰, JWT 토큰 및 일부 개인 키 형식이 로그에 노출될 수 있는 취약점이 발견되었습니다. 이 문제는 SecretDetector 로깅 포맷터의 버그로 인해 민감 정보가 완전히 마스킹되지 않아 발생합니다. Snowflake는 이 문제를 해결한 3.12.3 버전을 출시했습니다.
💡 쉬운 설명
프로그램이 작동 과정을 기록하는 '로그' 파일에 비밀번호나 보안 토큰 같은 중요한 정보가 그대로 적힐 수 있는 문제입니다. 로그 파일이 유출되면 해커가 계정 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
The Snowflake Connector for Python provides an interface for developing Python applications that can connect to Snowflake and perform all standard operations. Prior to version 3.12.3, when the logging level was set by the user to DEBUG, the Connector could have logged Duo passcodes (when specified via the `passcode` parameter) and Azure SAS tokens. Additionally, the SecretDetector logging formatter, if enabled, contained bugs which caused it to not fully redact JWT tokens and certain private key formats. Snowflake released version 3.12.3 of the Snowflake Connector for Python, which fixes the issue. In addition to upgrading, users should review their logs for any potentially sensitive information that may have been captured.
📍 영향받는 시스템
Snowflake Connector for Python 3.12.3 미만 버전
⚔️ 공격 벡터
로그 파일에 기록된 민감한 인증 정보(패스코드, 토큰, 개인 키 등)를 탈취하여 권한 도용
🛡️ 대응 방법
Snowflake Connector for Python을 3.12.3 버전 이상으로 업그레이드하고 기존 로그 파일의 민감 정보 노출 여부를 점검하십시오.
🔧 검증 코드
출력된 버전 번호가 3.12.3보다 낮은지 확인하십시오.
pip show snowflake-connector-python | grep Version