Snowflake-connector-nodejsの脆弱性CVE-2025-46328、バージョン2.0.4で修正

記事の要約

• Snowflake-connector-nodejsの脆弱性CVE-2025-46328が公開された
• バージョン1.10.0から2.0.4未満でTOCTOU脆弱性が存在
• ローカル攻撃者がログ設定を改ざんできる可能性があった

Snowflake-connector-nodejsの脆弱性情報公開

GitHubは2025年4月28日、Snowflake-connector-nodejsにおける脆弱性CVE-2025-46328に関するセキュリティアドバイザリを公開した。この脆弱性は、Snowflakeデータベースに接続するためのNode.jsドライバであるSnowflake-connector-nodejsに存在する。

影響を受けるのはバージョン1.10.0から2.0.4未満のバージョンであり、LinuxとmacOS環境でEasy Logging機能を使用している場合に、Time-of-Check to Time-of-Use (TOCTOU) race conditionが発生する可能性があるのだ。この脆弱性により、ローカル攻撃者がログ設定ファイルを書き換えることで、ログレベルや出力先を制御できる可能性があった。

2.0.4以降のバージョンではこの脆弱性が修正されているため、アップデートを行うことが推奨される。Snowflake-connector-nodejsを利用している開発者は、速やかに最新バージョンへのアップデートを実施すべきだ。

脆弱性詳細と対応策

TOCTOU脆弱性について

TOCTOU脆弱性とは、Time-of-Check to Time-of-Useの略で、チェックと使用の間に時間的なずれが生じることで発生する脆弱性である。この脆弱性では、ファイルのアクセス権限をチェックした後に、そのファイルが変更される可能性がある。

• チェック時点と使用時点の間にファイルが変更される
• アクセス権限のチェックが不十分になる
• 攻撃者が不正なアクセスを行う可能性がある

この脆弱性は、ファイルアクセスだけでなく、様々なリソースへのアクセス制御において発生する可能性があるため、注意が必要だ。

CVE-2025-46328に関する考察

今回のSnowflake-connector-nodejsの脆弱性CVE-2025-46328は、ローカル攻撃者によるログ設定の改ざんを許す可能性があった点で深刻だ。ログ設定の改ざんは、機密情報の漏洩やシステムの不正操作につながる可能性があるため、迅速な対応が求められる。幸い、修正版がリリースされているため、アップデートによる対策は容易である。

しかし、全てのユーザーが速やかにアップデートを行うとは限らない。古いバージョンのまま運用を続けるシステムが存在する可能性も考慮する必要がある。そのため、定期的なセキュリティ監査や脆弱性スキャンの実施、そしてアップデートの徹底が重要となるだろう。また、ログファイルへのアクセス制御を厳格化することで、脆弱性が悪用されるリスクを軽減できる。

今後、同様の脆弱性が他のソフトウェアでも発見される可能性がある。開発者は、セキュリティに関するベストプラクティスを遵守し、TOCTOU脆弱性などの潜在的なリスクを事前に排除する努力を継続すべきだ。セキュリティ意識の向上と継続的な対策が、安全なシステム運用に不可欠である。

参考サイト/関連サイト