Snowflake Inc.のSnowflake CliにおけるSQL インジェクションの脆弱性
| Title |
Snowflake Inc.のSnowflake CliにおけるSQL インジェクションの脆弱性
|
| Summary |
Snowflake CLIのバージョン3.19以前には、攻撃者が制御するコンテンツの不適切な無害化のために、意図しないSQLが実行される可能性がありました。攻撃者は細工されたリポジトリの内容、プロジェクト設定、マニフェストデータ、または仕様入力を提供することで、被害者ユーザーのSnowflakeセッションのコンテキストで意図しないSQLを実行させることができました。攻撃が成功するには、被害者が脆弱なコマンドパスを通じて攻撃者制御下のコンテンツを処理する必要があり、その際の動作はセッションに割り当てられた権限によって制限されます。問題はSnowflake CLIバージョン3.19で修正されており、ユーザーは手動でアップグレードを行う必要があります。
|
| Possible impacts |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 29, 2026, midnight |
| Registration Date |
July 1, 2026, 11 a.m. |
| Last Update |
July 1, 2026, 11 a.m. |
|
CVSS3.0 : 重要
|
| Score |
8.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年07月01日]
掲載 |
July 1, 2026, 11 a.m. |
NVD Vulnerability Information
CVE-2026-13744
| Summary |
Improper neutralization of attacker-controlled content in Snowflake CLI versions prior to 3.19 allowed unintended SQL execution. By supplying crafted repository content, project configuration, manifest data, or specification input, an attacker could cause Snowflake CLI to execute unintended SQL in the context of the victim user's Snowflake session. Successful exploitation requires the victim to process attacker-controlled content through a vulnerable command path and is limited by the privileges assigned to that session. The fix is available in Snowflake CLI version 3.19. Users must manually upgrade.
|
| Publication Date |
June 30, 2026, 1:16 a.m. |
| Registration Date |
June 30, 2026, 4:21 a.m. |
| Last Update |
July 1, 2026, 1:15 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:snowflake:snowflake_cli:*:*:*:*:*:*:*:* |
1.2.2 |
|
|
3.19.0 |
Related information, measures and tools
Common Vulnerabilities List