FICHE CVE

CVE-2026-3293

Publiée le 2026-02-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le pilote JDBC Snowflake (version 4.0.1 et versions antérieures) sont vulnérables à une attaque par déni de service via expressions régulières. Un attaquant disposant d'un accès local et de privilèges de bas niveau peut fournir un argument `nonProxyHosts` spécialement conçu pour provoquer une utilisation élevée du processeur et ralentir le système. Cette attaque est relativement facile à exécuter, bien qu'elle nécessite que l'attaquant ait déjà un accès initial à la machine locale.

CVSS 4.01.9 FAIBLE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-02-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A weakness has been identified in snowflakedb snowflake-jdbc up to 4.0.1. Impacted is the function SdkProxyRoutePlanner of the file src/main/java/net/snowflake/client/internal/core/SdkProxyRoutePlanner.java of the component JDBC URL Handler. Executing a manipulation of the argument nonProxyHosts can lead to inefficient regular expression complexity. The attack can only be executed locally. The exploit has been made available to the public and could be used for attacks. This patch is called 5fb0a8a318a2ed87f4022a1f56e742424ba94052. A patch should be applied to remediate this issue.