PT-2025-18122 · Snowflake · Snowflake-Connector-Nodejs

Snowflakedb · Publicado 2025-04-28 · Atualizado 2025-05-09 · CVE-2025-46328

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas snowflake-connector-nodejs versões 1.10.0 a 2.0.4

Descrição O problema refere-se a uma condição de corrida de Tempo de Verificação para Tempo de Uso (TOCTOU). Ao utilizar o recurso Easy Logging no Linux e macOS, o driver lê a configuração de log de um arquivo fornecido pelo usuário. O driver verifica se o arquivo de configuração pode ser gravado apenas pelo seu proprietário, mas essa verificação é vulnerável a uma condição de corrida TOCTOU e não verifica se o proprietário do arquivo corresponde ao usuário que está executando o driver. Isso poderia permitir que um atacante local com acesso de escrita ao arquivo de configuração ou ao diretório que o contém sobrescrevesse a configuração e obtivesse controle sobre o nível de log e o local de saída.

Recomendações Para as versões do snowflake-connector-nodejs 1.10.0 a 2.0.4, atualize para a versão 2.0.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso de escrita ao arquivo de configuração e ao diretório que o contém para prevenir possível exploração.

Exploit

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2025-46328

GHSA-WMJQ-JRM2-9WFR

Produtos afetados

Snowflake-Connector-Nodejs

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/46xxx/CVE-2025-46328.json · Exploit
• https://github.com/snowflakedb/snowflake-connector-nodejs/commit/e94c24112271e1f44c271634bf29a3188acc68d0 · Correção
• https://github.com/snowflakedb/snowflake-connector-nodejs/security/advisories/GHSA-wmjq-jrm2-9wfr · Aviso do Fabricante
• https://github.com/snowflakedb/snowflake-connector-nodejs · Nota
• https://osv.dev/vulnerability/CVE-2025-46328 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1917226247869833696 · Publicação no Twitter
• https://t.me/cvenotify/121609 · Publicação no Telegram
• https://t.me/cvedetector/23957 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-46328 · Nota de Segurança
• https://twitter.com/CVEnew/status/1916988399451259176 · Publicação no Twitter
• https://t.me/cvenotify/120120 · Publicação no Telegram
• https://t.me/cvetracker/22575 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-wmjq-jrm2-9wfr · Aviso do Fabricante