セキュリティ

SECURITY

公開：2025-05-13

Snowflake Connector for .NET 2.1.2～4.4.0のTOCTOU脆弱性CVE-2025-46326が公開、4.4.1へのアップデートを推奨

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Snowflake Connector for .NETの脆弱性CVE-2025-46326が公開された
• バージョン2.1.2から4.4.1未満でTOCTOU脆弱性が存在
• ローカル攻撃者がログ設定を改ざんできる可能性があった

Snowflake Connector for .NETの脆弱性情報公開

Snowflake社は2025年4月28日、Snowflake Connector for .NETにおけるセキュリティ上の脆弱性CVE-2025-46326を公開した。この脆弱性は、バージョン2.1.2から4.4.0までの間に存在するTime-of-Check to Time-of-Use (TOCTOU) race conditionである。

LinuxとmacOS環境でEasy Logging機能を使用する場合、コネクタはユーザー指定のファイルからログ設定を読み込む。この際、ファイルへの書き込み権限が所有者のみであることを検証するが、この検証にTOCTOU脆弱性が存在し、ファイル所有者とコネクタを実行しているユーザーの整合性を正しく確認できていなかったのだ。

そのため、ローカル攻撃者が設定ファイルまたはその親ディレクトリへの書き込み権限を持つ場合、ログレベルや出力先を改ざんし、ログ機能を不正に操作できる可能性があった。この問題はバージョン4.4.1で修正されている。

Snowflake社は、影響を受けるユーザーに対し、速やかにバージョン4.4.1へのアップデートを推奨している。

脆弱性詳細と対応策

GitHub Security Advisory

TOCTOU脆弱性について

TOCTOU脆弱性とは、Time-of-check to Time-of-useの略で、チェックと使用のタイミングのずれを突いた脆弱性である。

• ファイルのアクセス権限チェック後に、ファイルの内容が変更される
• チェックと使用の間に、攻撃者がファイルの内容を書き換える
• 結果として、不正な操作が実行される可能性がある

この脆弱性は、システムのセキュリティに深刻な影響を与える可能性があるため、迅速な対応が求められる。適切なアクセス制御と、タイムリーなセキュリティパッチの適用が重要だ。

Snowflake Connector for .NET脆弱性に関する考察

Snowflake Connector for .NETの脆弱性修正は、迅速な対応がなされた点で評価できる。しかし、TOCTOU脆弱性は、他のソフトウェアにも潜んでいる可能性があるため、継続的なセキュリティ監査と、開発プロセスにおけるセキュリティ対策の強化が重要だ。特に、ログ設定ファイルのような重要なファイルへのアクセス制御は、厳格に行う必要がある。

今後、同様の脆弱性を防ぐためには、ファイルアクセス制御の強化、競合状態を避けるための設計、そして、セキュリティパッチの迅速な適用が不可欠である。開発者は、セキュリティに関するベストプラクティスを理解し、実践していく必要があるだろう。

さらに、Snowflake社には、ユーザーへのセキュリティに関する情報提供を継続し、より安全なソフトウェア開発を推進していくことが期待される。継続的なセキュリティアップデートと、脆弱性発見のための積極的な取り組みが、信頼性の向上に繋がるだろう。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-46326」. https://www.cve.org/CVERecord?id=CVE-2025-46326, (参照 25-05-13).
2561

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧