🇰🇷 한글 설명
Snowflake CLI 3.19 미만 버전의 Snowpark 어노테이션 프로세서 콜백 템플릿에서 부적절한 중립화로 인해 임의 코드 실행이 가능합니다. 공격자가 조작된 프로젝트 콘텐츠를 제공하면 Snowflake CLI가 이를 Python 코드로 삽입하여 실행함으로써 사용자 로컬 환경에서 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
Snowflake CLI를 사용하여 프로그램을 배포할 때, 악의적으로 조작된 파일을 사용하면 해커가 내 컴퓨터에서 마음대로 명령어를 실행할 수 있는 보안 취약점입니다. 사용자가 검증되지 않은 프로젝트 파일을 불러와 배포 작업을 수행할 때 발생합니다.
🇺🇸 원문 (English)
Improper neutralization in the Snowpark annotation processor callback template in Snowflake CLI versions prior to 3.19 allowed arbitrary code execution during application bundling or deployment. An attacker could exploit this by supplying crafted project content that is interpolated into generated Python code, causing Snowflake CLI to execute attacker-controlled code in the local context of the user running the CLI. Successful exploitation requires the victim to run the relevant bundling or deployment workflow against attacker-controlled project content, and any resulting code runs with the privileges of that local execution context. The fix is available in Snowflake CLI version 3.19, and users must manually upgrade.
📍 영향받는 시스템
Snowflake CLI versions prior to 3.19
⚔️ 공격 벡터
조작된 프로젝트 콘텐츠를 포함한 파일을 대상으로 Snowflake CLI의 번들링 또는 배포 워크플로우를 실행함
🛡️ 대응 방법
Snowflake CLI를 3.19 버전 이상으로 수동 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 3.19 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
snowflake --version 2>/dev/null | grep -E '3\.(19|[2-9][0-9])'