🇰🇷 한글 설명
Snowflake CLI 3.27.0 미만 버전에서 부적절한 입력 검증으로 인해 사용자 제어 값이 SQL 문자열에 삽입되어 다중 문 쿼리로 실행될 수 있는 취약점이 발견되었습니다. 공격자가 악성 프로젝트 설정 파일이나 명령줄 입력을 제공할 경우, 피해자의 Snowflake 세션 및 활성 역할 권한으로 임의의 SQL 문을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 값을 제대로 검사하지 않아, 해커가 몰래 작성한 명령어가 데이터베이스에서 실행될 수 있는 문제입니다. 이를 통해 해커는 권한을 이용해 중요한 데이터를 조작하거나 훔칠 수 있습니다.
🇺🇸 원문 (English)
Improper input validation in Snowflake CLI versions prior to 3.27.0 allowed unsanitized user-controlled values to be interpolated into SQL strings that are executed as multi-statement queries. An attacker who is able to supply a malicious project configuration file or craft command-line input can cause Snowflake CLI to execute attacker-controlled SQL statements in the context of the victim's Snowflake session and active role. Successful exploitation requires either write or pull-request access to a project repository whose CI/CD pipeline runs Snowflake CLI under an elevated service account role, or the ability to supply untrusted input to CLI-wrapping automation. Impact is limited by the privileges held by the configured Snowflake role at execution time. The fix is available in Snowflake CLI version 3.27.0, which also addresses several additional security findings. Users must manually upgrade.
📍 영향받는 시스템
Snowflake CLI versions prior to 3.27.0
⚔️ 공격 벡터
악성 프로젝트 설정 파일 제공 또는 CLI를 사용하는 자동화 도구에 조작된 명령줄 입력 주입
🛡️ 대응 방법
Snowflake CLI를 최신 버전인 3.27.0 이상으로 수동 업그레이드
🔧 검증 코드
출력된 버전이 3.27.0 미만(예: 3.26.x)이면 취약한 상태이며, 3.27.0 이상이면 안전합니다.
snowflake --version 2>/dev/null | grep -E '3\.[2-6]\.' || snowflake --version