漏洞信息
# Snowflake Python 连接器易受命令注入攻击
## 漏洞概述
Snowflake的Python连接器在单点登录（SSO）浏览器URL认证中存在命令注入漏洞。攻击者可以通过诱使用户访问恶意构造的连接URL来执行远程代码。
## 影响版本
版本 3.0.2 之前的版本受影响。
## 漏洞细节
攻击者需成功完成两个步骤：(1) 建立恶意资源 (2) 诱使用户使用该资源。攻击者可以通过在恶意服务器上响应SSO URL来提供攻击负载。如果用户访问了恶意构造的连接URL，用户的本地机器将会渲染恶意负载，导致远程代码执行。
## 漏洞影响
攻击者可通过命令注入执行远程代码。可以通过URL白名单和反钓鱼资源来缓解该攻击场景。问题已在版本 3.0.2 中修复。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Snowflake Python Connector vulnerable to Command Injection
漏洞描述信息
The Snowflake Connector for Python provides an interface for developing Python applications that can connect to Snowflake and perform all standard operations. Versions prior to 3.0.2 are vulnerable to command injection via single sign-on(SSO) browser URL authentication. In order to exploit the potential for command injection, an attacker would need to be successful in (1) establishing a malicious resource and (2) redirecting users to utilize the resource. The attacker could set up a malicious, publicly accessible server which responds to the SSO URL with an attack payload. If the attacker then tricked a user into visiting the maliciously crafted connection URL, the user’s local machine would render the malicious payload, leading to a remote code execution. This attack scenario can be mitigated through URL whitelisting as well as common anti-phishing resources. Version 3.0.2 contains a patch for this issue.
CVSS信息
N/A
漏洞类别
在命令中使用的特殊元素转义处理不恰当(命令注入)
漏洞标题
Snowflake snowflake-connector-python 命令注入漏洞
漏洞描述信息
Snowflake snowflake-connector-python是Snowflake公司的适用于 Python 的 Snowflake 连接器，它符合Python DB API 2.0规范。 Snowflake snowflake-connector-python 3.0.2之前版本存在命令注入漏洞。攻击者利用该漏洞可以导致远程代码执行。
CVSS信息
N/A
漏洞类别
命令注入