CVE-2026-81930

Beschreibung

Der Snowflake-Anbieter von Apache Airflow hat die "Konto"- und "Region"-Felder der Verbindung nicht validiert, bevor sie in Anforderungs-URLs interpoliert wurden. Der SQL-API-Endpunkt ist als `https://{account}.snowflakecomputing.com/api/v2/statements` aufgebaut, so dass ein `account`-Wert, der `/`, `?` oder `#` enthält, die beabsichtigte Domäne auf einen Pfad, eine Abfrage oder ein Fragment degradiert und dem Angreifer die Kontrolle über den Request-Host überlässt. Der Anbieter sendet diese Anfrage mit einem "Authorization: Bearer"-Header, der eine JWT enthält, die aus dem privaten Schlüssel der Verbindung oder dem konfigurierten OAuth- oder Programmatic Access-Token geprägt wurde. Ein benutzer, der die snowflake-verbindung bearbeiten kann, aber seine geheimnisse nicht lesen kann - airflow gibt verbindungskonfigurationsbenutzern schreibgeschützten zugriff auf gespeicherte anmeldeinformationen, und eine "private key file" lebt auf dem arbeiter und nicht in der verbindung - kann daher ein gültiges token für das konto an einen host ihrer wahl liefern lassen und es gegen den echten snowflake-endpunkt wiedergeben. Es ist keine Dag-Authoring-Fähigkeit erforderlich: Der Angreifer bearbeitet die Verbindung und wartet, bis ein vorhandener Dag sie verwendet. Der gleiche unvalidierte Wert wurde auch verwendet, um die OAuth-Token-Request-URL und die Cortex Agent-Basis-URL zu erstellen. Beeinflusst Bereitstellungen, bei denen Snowflake-Verbindungen von Benutzern bearbeitet werden können, denen die Anmeldeinformationen der Verbindung nicht vertrauen. Benutzern wird empfohlen, auf "apache-airflow-providers-snowflake" oder höher zu upgraden, was "account" und "region" -werte ablehnt, die etwas anderes als buchstaben, ziffern, ".", " " und "-" in jeder url enthalten, die der anbieter aus ihnen erstellt.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation apache-airflow-providers-snowflake.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.