🇰🇷 한글 설명
Snowflake의 다양한 드라이버(Python, Go, JDBC, Node.js, PHP PDO, ODBC)에서 민감한 정보가 로그 파일에 삽입되는 취약점이 발견되었습니다. 인증 토큰, 암호화 키, 사전 서명된 URL 등이 로그에 기록될 수 있으며, 로그에 접근 권한이 있는 공격자는 이를 탈취하여 Snowflake 계정이나 클라우드 저장소에 무단 접속할 수 있습니다.
💡 쉬운 설명
프로그램이 작동 기록을 남길 때 비밀번호나 열쇠 같은 중요한 정보를 실수로 일반 기록장에 적어두는 문제입니다. 이 기록장을 볼 수 있는 사람이 있다면, 적혀 있는 비밀 정보를 이용해 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
Insertion of sensitive information into log files in the Snowflake Python, Go, JDBC, Node.js, PHP PDO, and ODBC drivers allowed authentication tokens, query-result encryption keys, pre-signed cloud-storage URLs, and SAML assertions to be written to diagnostic logs in circumstances where the available log redaction did not cover all affected log paths and data types. An attacker with read access to the log destination, whether the local filesystem, a log aggregation service, or a CI/CD artifact store, could obtain credentials and decryption keys that, if still valid at the time of access, could be used to authenticate to the corresponding Snowflake account or cloud-storage object. Successful exploitation requires read access to the log destination, and impact is bounded by credential lifetime and object scope. The fix is available in Snowflake Connector for Python v4.7.3, Snowflake Go Driver v2.2.0, Snowflake JDBC Driver v4.3.4 (including the snowflake-jdbc-fips and snowflake-jdbc-thin), Snowflake Node.js Driver v3.3.0, Snowflake PHP PDO Driver v4.2.0, and Snowflake ODBC Driver v3.20.0. Users must manually upgrade and should securely delete previously generated diagnostic logs containing sensitive information where retention is not required.
📍 영향받는 시스템
Snowflake Python v<4.7.3, Go v<2.2.0, JDBC v<4.3.4, Node.js v<3.3.0, PHP PDO v<4.2.0, ODBC v<3.20.0
⚔️ 공격 벡터
로그 파일, 로그 수집 서비스 또는 CI/CD 아티팩트 저장소에 대한 읽기 권한을 가진 공격자가 로그 내 민감 정보를 탈취
🛡️ 대응 방법
해당 드라이버를 최신 버전으로 업데이트하고, 민감 정보가 포함되었을 가능성이 있는 기존 진단 로그를 안전하게 삭제하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(Python 4.7.3, Go 2.2.0, JDBC 4.3.4, Node.js 3.3.0, PHP PDO 4.2.0, ODBC 3.20.0 이상)인지 확인하십시오.
pip show snowflake-connector-python | grep Version || java -cp snowflake-jdbc.jar com.snowflake.client.jdbc.main.Main | grep Version || node -e "console.log(require('snowflake-nodejs-driver/package.json').version)"