Snowflake/Databricks

Im Snowflake Snowpark Python SDK (snowpark-python) vor Version 1.53.0 bestehen SQL-Injection-Schwachstellen. Authentifizierte Benutzer mit niedrigen Rechten können dadurch SQL-Anweisungen ausserhalb ihres Berechtigungsrahmens ausführen. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: snowpark-python auf Version 1.53.0 oder neuer aktualisieren.

Die Snowflake-Datenquelle in Grafana lässt GET/PUT-Kommandos zu. Jeder Benutzer, der Abfragen gegen diese Datenquelle ausführen darf, kann damit Dateien zwischen dem lokalen Grafana-Server und dem angebundenen System lesen und schreiben. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Azure Databricks ermöglicht eine Server-Side Request Forgery (SSRF)-Schwachstelle einem nicht authentifizierten Angreifer über das Netzwerk eine Rechteausweitung. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine unzureichende Neutralisierung im Callback-Template des Snowpark-Annotation-Processors der Snowflake CLI vor Version 3.19 erlaubte die Ausführung beliebigen Codes während des Bundling oder Deployments einer Anwendung. Über das Netzwerk lassen sich Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährden. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Snowflake CLI 3.19 oder neuer.

Eine unzureichende Neutralisierung von durch den Angreifer kontrolliertem Inhalt in der Snowflake CLI (Versionen vor 3.19) ermöglichte unbeabsichtigte SQL-Ausführung; über präparierte Repository-Inhalte, Projektkonfigurationen oder Manifeste liess sich dies auslösen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Die Snowflake CLI auf Version 3.19 oder neuer aktualisieren.

Snowflake SQLAlchemy in Versionen vor 1.11.0 enthält mehrere Sicherheitsschwachstellen. Unter anderem wird bei Merge-Operationen mit benutzergesteuerten Spaltenbezeichnern eine unzureichende Behandlung genutzt, wodurch eine SQL-Injection möglich ist. CVSS-Basiswert: 8.3 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor; eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In der Snowflake CLI vor Version 3.19 erlaubt eine unzureichende Neutralisierung von Parametern die unbeabsichtigte Ausführung von SQL. Ein Angreifer kann dies durch präparierte Werte an anfälligen Befehlspfaden ausnutzen. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Snowflake CLI 3.19 oder neuer.

Eine unzureichende Einschränkung der Dateipfad-Auflösung in Snowflake CLI vor Version 3.19 erlaubte das Auslesen beliebiger lokaler Dateiinhalte und deren Übertragung an Snowflake-Dienste. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Snowflake CLI 3.19 oder neuer aktualisieren.

In der Snowflake CLI vor Version 3.19 ermöglicht die unsachgemässe Behandlung nicht vertrauenswürdiger externer Referenzen Server-Side Request Forgery (SSRF). Die !source/!load-Direktiven des SQL-Statement-Readers konnten auf entfernte Referenzen verweisen. CVSS-Basiswert: 4.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die Snowflake CLI auf Version 3.19 oder neuer aktualisieren.

In Snowflake CLI vor Version 3.19 wurden sensible Informationen in Logdateien geschrieben, sodass Klartext-Zugangsdaten in persistenten lokalen Debug-Logs landen konnten. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Snowflake CLI 3.19 oder neuer aktualisieren.

Im Snowflake Spark Connector (spark-snowflake) in Versionen vor 3.2.1 ermöglichen mehrere Schwachstellen bei der Eingabevalidierung Angreifern laut Quelle unter anderem, OAuth-Client-Credentials zu exfiltrieren und beliebiges SQL auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 3.2.1 oder neuer aktualisieren.

Eine unzureichende Neutralisierung lokaler CLI-Parameter in der Snowflake CLI in Versionen vor 3.19 erlaubte eine unbeabsichtigte SQL-Ausführung. Ein Nutzer konnte das Problem durch die Übergabe präparierter Werte auslösen. CVSS-Basiswert: 3.6 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Snowflake CLI 3.19 oder neuer aktualisieren.