Уязвимость CVE-2026-92903 в Snowflake CLI позволяет внедрять произвольный SQL через непроверенные входные данные
В Snowflake CLI версий до 3.27.0 обнаружена уязвимость неправильной проверки входных данных, позволяющая внедрять непроверенные значения в SQL-запросы. Проблема затрагивает пользователей, чьи CI/CD-конвейеры запускают Snowflake CLI под привилегированной сервисной учётной записью. Оценка критичности — CVSS 8.2 (HIGH).
Подробности
Уязвимость затрагивает версии Snowflake CLI до 3.27.0 включительно. Причиной стало отсутствие должной санитизации пользовательских значений, которые интерполируются в SQL-строки, исполняемые как многооператорные запросы (multi-statement queries). Иными словами, непроверенные данные попадают напрямую в выполняемый SQL-код. Злоумышленник, способный подсунуть вредоносный файл конфигурации проекта или сформировать специально crafted ввод в командной строке, может заставить Snowflake CLI выполнить произвольные SQL-инструкции в контексте сессии жертвы и её активной роли в Snowflake. Это означает, что последствия эксплуатации ограничиваются только теми привилегиями, которыми обладает настроенная на момент запуска роль Snowflake. Эксплуатация требует одного из двух условий: либо у атакующего есть доступ на запись или возможность отправлять pull-request в репозиторий проекта, чей CI/CD-конвейер запускает Snowflake CLI под сервисной учётной записью с повышенными правами; либо атакующий может подать недоверенные входные данные в автоматизацию, оборачивающую CLI. Именно связка «недоверенный ввод + привилегированная роль в CI/CD» делает эту уязвимость особо опасной в корпоративных средах.Что делать
Исправление доступно в Snowflake CLI версии 3.27.0. Помимо CVE-2026-92903, этот релиз закрывает ряд дополнительных проблем безопасности. Важно: обновление необходимо установить вручную — автоматическое обновление не предусмотрено, поэтому пользователям следует самостоятельно перейти на версию 3.27.0 или более позднюю. До момента обновления рекомендуется рассмотреть следующие митигации: ограничить привилегии роли Snowflake, под которой CLI запускается в CI/CD-конвейерах (принцип наименьших привилегий); ограничить доступ к репозиториям и ужесточить проверку pull-request'ов; по возможности не передавать недоверенные входные данные в автоматизацию, оборачивающую Snowflake CLI; проверять содержимое конфигурационных файлов проектов перед запуском. Итог: CVE-2026-92903 — серьёзная уязвимость внедрения SQL в Snowflake CLI, эксплуатируемая через подконтрольные атакующему конфигурации и ввод командной строки. Организациям, использующим инструмент в автоматизированных средах с привилегированными учётными записями, следует незамедлительно обновиться до версии 3.27.0 и пересмотреть уровень прав, выдаваемых CLI при выполнении в CI/CD.Источник: CVE Project (cvelistV5)