Snowflake Connector for Python DataFrame 열 이름으로 SQL 명령 주입 가능
Snowflake 데이터를 다루는 파이썬 프로그램에서 데이터가 털리거나 지워질 수 있습니다.
요약
write_pandas() 기능이 DataFrame 열 이름을 이스케이프하지 않아, 공격자가 만든 열 이름으로 추가 SQL 명령을 붙일 수 있습니다. 식별자 이스케이프를 기본값이 아닌 설정으로 끈 경우에만 해당하며, 공격자가 열 이름을 넘길 수 있는 애플리케이션이 대상입니다.
해당 조건
- 식별자 이스케이프가 비기본 설정으로 꺼진 경우
- 공격자가 정한 열 이름을 write_pandas()에 넘기는 애플리케이션
대처법
Snowflake Connector for Python은 4.8.1, Snowflake Connector for Python (Universal Core)은 5.2.0 이상으로 수동 업데이트하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Snowflake Connector for Python 4.8.1 이상
- Snowflake Connector for Python (Universal Core) 5.2.0 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인