• 未パッチ版ビルドの場合: 未パッチ版/脆弱なホイールを使用してください。
• パッチ適用済みビルドの場合: パッチ適用済み/修正済みのホイールを使用してください。

PoC スクリプトは、使用しているバージョンを自動的に検出します。

2. Snowflake アカウントと構成の作成

1. Snowflake アカウントを作成する:

   • Snowflake にアクセスし、無料トライアルアカウントを作成します。
   • アカウント識別子（例: abc123.us-east-1）をメモします。

2. config.toml ファイルを作成する:

   Snowflake の認証情報を記載した config.toml ファイルをルートディレクトリに作成します:

   root@kitploit:~

   [connections.my_example_connection]
   account = "your_account_identifier"    # e.g., "abc123.us-east-1"
   user = "your_username"                 # Your Snowflake username
   password = "your_password"             # Your Snowflake password
   role = "your_role"                     # e.g., "ACCOUNTADMIN" or "SYSADMIN"
   warehouse = "your_warehouse"           # e.g., "COMPUTE_WH"
   database = "your_database"             # e.g., "TESTDB"
   schema = "your_schema"                 # e.g., "PUBLIC"
   

   設定例:

   root@kitploit:~

   [connections.my_example_connection]
   account = "abc123.us-east-1"
   user = "testuser"
   password = "MySecurePassword123!"
   role = "ACCOUNTADMIN"
   warehouse = "COMPUTE_WH"
   database = "TESTDB"
   schema = "PUBLIC"
   

3. ビルドと実行

Docker イメージをビルド:

Docker コンテナを実行:

使用例

任意のビルドでのテスト:

PoC は自動的に以下を実行します:

• パッチ適用済みか未適用かを自動的に検出します
• 検出されたバージョンに基づいて適切なテストを実行します
• 脆弱性の状態を示す明確な出力を表示します

脆弱性について

CVE-2025-24793

この脆弱性は Snowflake Connector for Python に影響し、write_pandas 関数を通じた SQL インジェクションに関連しています。

PoC スクリプトは自動的に検出して実証します:

• 未パッチ版: SQL インジェクション攻撃による脆弱な動作を示します
• パッチ適用済み版: 脆弱性が修正されていることを示します

自動検出機能

スクリプトは write_pandas 関数を検査して、脆弱な stage_location パラメータが存在するかどうかを判断し、セキュリティ状態に関する明確なフィードバックを提供します。

重要な注意事項

⚠️ セキュリティ警告: これは教育およびテスト目的のみの概念実証です。本番環境では使用しないでください。

⚠️ 構成のセキュリティ: 実際の認証情報を含む config.toml ファイルをバージョン管理にコミットしないでください。.gitignore に追加してください。

⚠️ Snowflake のコスト: これらのテストを実行すると Snowflake のコンピューティングクレジットを消費する可能性があることに注意してください。

トラブルシューティング

よくある問題

1. 認証エラー: config.toml の Snowflake 認証情報を確認してください。
2. ネットワーク問題: Docker コンテナが Snowflake エンドポイントに到達できることを確認してください。
3. 権限エラー: Snowflake ユーザーに適切な権限があることを確認してください。

Docker の問題

• ビルドが失敗する場合は、必要なファイルがすべて存在することを確認してください。
• Docker デーモンが実行されているか確認してください。
• requirements.txt の Python 依存関係を確認してください。