Snowflake Python Connector v4.7.3: SQLi, Auth Bypass & Secret Leakage Fixes

Snowflake Connector Python v4.7.3 安全更新总结 漏洞概述 SQL 注入（SQLi）： 在深层调用栈中（如 Django 应用）使用 读取并解析调用栈，当栈帧引用被截断的 URL（含 注释）时，攻击者可构造恶意 URL 绕过验证，导致 SQL 注入。 OCSP 吊销检查缺陷： 仅允许主机名字符，但 可被设置为包含 的 URL，导致缓存服务器配置被错误解析。 敏感信息泄露： 中 DEBUG 日志会打印 chunk-header 名称和 type=help 值元数据； 中 ERROR 日志会打印响应结构摘要； 在 DEBUG 级别下会打印完整查询语句，可能泄露敏感数据。 认证绕过： 环境变量可覆盖已识别的主机列表，若设置为空或错误值，可能导致认证绕过。 密钥泄露：请求头中的 日志器默认会打印应用日志器中的密钥，可通过 关闭。 影响范围 受影响版本：v4.7.3 之前的版本（v4.7.2 及更早） 影响组件： - 函数（SQL 注入） - OCSP 吊销检查模块（缓存服务器配置解析） - 日志模块（敏感信息泄露） - 认证模块（主机名验证） 修复方案 SQL 注入修复：在 中增加对截断 URL 的验证，确保 注释被正确识别（SNOW-4011646）。 OCSP 修复：增强 的解析逻辑，支持完整 URL 格式（SNOW-3675583）。 日志脱敏： - 中 DEBUG 日志增加掩码处理（SNOW-3675590） - 增加查询语句脱敏（SNOW-3675590） - 请求头日志器默认启用密钥掩码，可通过 关闭（SNOW-3675583） 认证修复： 环境变量现在会正确覆盖已识别主机列表（SNOW-3675581） POC / 利用代码 其他改进 新增实验性 Python 3.14（free-threaded CPython）支持（实验性，不用于生产） 修复 截断未加引号的 URL（SNOW-3675583） 修复 on-disk OCSP 响应验证缓存失败问题（SNOW-3675583） 修复 在并发场景下的竞态条件（SNOW-3675583） 改进 OCSP 吊销检查的健壮性和正确性（SNOW-3675581）

目標達成すべての支援者に感謝 — 100%達成しました！

Snowflake Python Connector v4.7.3: SQLi, Auth Bypass & Secret Leakage Fixes

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Snowflake Python Connector v4.7.3: SQLi, Auth Bypass & Secret Leakage Fixes

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！