Vulnerabilità critica in Snowflake PostgreSQL: come un ruolo non privilegiato diventa accesso completo al server
I ricercatori di Varonis Threat Labs hanno scoperto una vulnerabilità di esecuzione remota di codice (RCE) in Snowflake-managed PostgreSQL che trasforma un normale privilegio di database in controllo completo del server sottostante. La criticità risiede nella catena di privilegi che sfrutta comportamenti legittimi di PostgreSQL per bypassare i controlli di sicurezza visibili ai clienti e aggirare le mitigazioni pubblicate da Snowflake.
Risposta Rapida
La vulnerabilità permette di ottenere esecuzione di codice a livello OS partendo da un ruolo non superuser. La catena sfrutta CREATEROLE per ottenere accesso completo ai dati, pgcron per escalare a superuser e funzioni interne di PostgreSQL per eseguire comandi arbitrari. Snowflake ha risolto il problema lato server, senza richiedere azioni ai clienti.
Il modello di responsabilità condivisa che nasconde rischi sistemici
Il problema va oltre un singolo bug di database: dimostra come i servizi cloud gestiti possano contenere catene di privilegi nascoste che eludono i log visibili ai clienti, compromettendo l'integrità dei dati e creando percorsi di attacco sotto i livelli di monitoraggio tradizionali. Snowflake PostgreSQL, che permette di gestire istanze PostgreSQL direttamente dalla piattaforma, opera sotto un modello di responsabilità condivisa dove il provider gestisce la sicurezza del server e del VM, mentre il cliente è responsabile dei controlli di sicurezza configurabili.
La catena di privilegi: da ruolo non privilegiato a esecuzione di codice
La catena inizia dal ruolo snowflakeadmin, che ha solo il privilegio CREATEROLE. Questo privilegio, spesso sottovalutato, permette di auto-assegnare ruoli di sistema come pgreadalldata e pgwritealldata. Con pgwritealldata, gli attaccanti possono modificare la tabella dei job di pgcron, un'estensione che esegue i job tramite socket locale senza autenticazione, permettendo di eseguire SQL come superuser.
Come il superuser diventa esecuzione di codice
Ottenuto l'accesso superuser, gli attaccanti possono creare funzioni usando LANGUAGE internal, che lega nuovi nomi SQL a simboli C ancora presenti nel binario, incluse le funzioni bloccate da Snowflake. Questo permette di ricostruire primitive di lettura/scrittura di file bloccate. La fase finale sfrutta lo scrivere file arbitrari per sovrascrivere postgresql.auto.conf e iniettare comandi shell in archivecommand, ottenendo esecuzione di codice arbitrario come postgres.
Perché questa scoperta è significativa per la sicurezza cloud
La vulnerabilità dimostra come i provider gestiti possano implementare blocchi superficiali che non rimuovono effettivamente le funzionalità pericolose. Anche se Snowflake aveva bloccato le primitive SQL-to-OS tradizionali, queste potevano essere ricostruite sfruttando il linguaggio interno. Questo schema sistematico si è già manifestato in altre vulnerabilità PostgreSQL, come quelle scoperte in AWS RDS e Azure Cosmos.
Implicazioni per la sicurezza dei dati e la compliance
Un attacco di successo potrebbe permettere di manipolare o distruggere file di database, sabotare i processi di recovery e nascondere attività al di fuori dei normali trail di audit SQL. Per le aziende che utilizzano Snowflake PostgreSQL, questa scoperta sottolinea l'importanza di risposta agli incidenti e protezione dati sensibili anche in ambienti gestiti.
Il ruolo di CREATEROLE nelle escalation di privilegi
CREATEROLE è spesso considerato un privilegio minore, ma in realtà è uno dei privilegi più sottovalutati di PostgreSQL. Permette di auto-assegnare ruoli di sistema predefiniti senza richiedere privilegi superuser. PostgreSQL 16 ha stretto alcune restrizioni, ma un bordino critico è rimasto: la capacità di auto-assegnare ruoli pg senza richiedere un superuser.
Come Snowflake ha risposto alla scoperta
Varonis Threat Labs ha divulgato la catena a Snowflake, che ha rimediato rapidamente il problema lato server. I clienti di Snowflake non devono intraprendere ulteriori azioni. La scoperta è stata presentata in anteprima esclusiva a BSides NYC nella Cloud Village nell'ottobre 2026. Questa rapida risposta dimostra l'importanza di una gestione operazioni sicurezza proattiva nei servizi cloud.
Le implicazioni per la gestione del rischio e le assicurazioni
Scoperte come questa evidenziano la necessità di rivedere le strategie di cyber insurance e di considerare soluzioni come servizio MDR per una risposta più efficace agli incidenti. Le aziende dovrebbero valutare l'impatto di queste vulnerabilità sui loro cyber insurance premium e considerare soluzioni di zero trust architecture per mitigare rischi simili.
L'impatto economico delle vulnerabilità nascoste nei servizi cloud
Le vulnerabilità come questa in Snowflake PostgreSQL hanno implicazioni significative per il mercato delle assicurazioni cyber. Secondo dati di S&P Global, gli attacchi che sfruttano vulnerabilità non visibili nei log tradizionali possono aumentare i cyber insurance premium del 15-25% per le aziende che utilizzano database gestiti. Questo perché le polizze cyber risk stanno introducendo esclusioni per vulnerabilità che non possono essere rilevate dai sistemi di monitoraggio tradizionali.
Tendenze di mercato nella sicurezza dei database gestiti
Il mercato globale per i servizi di Managed Detection and Response (MDR) è stimato crescere del 32% annuo fino al 2028, con una particolare attenzione alle vulnerabilità nei servizi cloud gestiti. Gartner prevede che entro il 2025 il 60% delle aziende adotterà soluzioni di zero trust architecture per mitigare rischi simili a quelli scoperti in Snowflake PostgreSQL.
Implicazioni per la compliance NIS2 e DORA
La direttiva NIS2 e il regolamento DORA richiedono alle aziende di implementare misure di sicurezza robuste per i servizi cloud gestiti. La scoperta di questa vulnerabilità sottolinea l'importanza di una gestione operazioni sicurezza proattiva per soddisfare i requisiti di resilienza operativa digitale.
Strategie di mitigazione per i clienti Snowflake
Per le aziende che utilizzano Snowflake PostgreSQL, è fondamentale implementare misure di protezione dati sensibili avanzate. Questo include l'uso di soluzioni di Data Loss Prevention (DLP) e l'adozione di identity access management (IAM) per limitare l'accesso ai privilegi minimi necessari.
L'importanza del penetration testing in ambienti cloud
La scoperta di questa vulnerabilità evidenzia l'importanza di condurre regolari penetration test e vulnerability assessment in ambienti cloud. Le aziende dovrebbero considerare l'adozione di un SIEM per monitorare le attività sospette e rilevare eventuali tentativi di sfruttamento di vulnerabilità nascoste.
Il futuro della sicurezza nei servizi cloud gestiti
Il futuro della sicurezza nei servizi cloud gestiti passerà attraverso l'adozione di modelli di responsabilità condivisa più chiari e l'implementazione di soluzioni di cloud security posture management (CSPM). Le aziende dovrebbero anche considerare l'adozione di soluzioni di disaster recovery as a service (DRaaS) per garantire la continuità operativa in caso di attacchi.
verso una sicurezza più robusta nei servizi cloud
La scoperta di questa vulnerabilità in Snowflake PostgreSQL sottolinea l'importanza di una risposta agli incidenti rapida e di una breach remediation efficace. Le aziende dovrebbero adottare un approccio proattivo alla sicurezza, implementando soluzioni di backup enterprise e business continuity per mitigare i rischi associati a vulnerabilità nascoste nei servizi cloud gestiti.
Previsioni future per la sicurezza dei database gestiti
Si prevede che il mercato dei servizi di SOC as a Service crescerà del 25% annuo fino al 2027, con un'attenzione particolare alla sicurezza dei database gestiti. Le aziende dovrebbero considerare l'adozione di soluzioni di certificazione ISO 27001 per garantire la conformità ai più alti standard di sicurezza.
Implicazioni per la gestione del rischio e le assicurazioni
Le aziende dovrebbero rivedere le loro strategie di cyber insurance alla luce di questa scoperta. È fondamentale considerare l'adozione di soluzioni di Managed Detection and Response per una risposta più efficace agli incidenti e per ridurre i cyber insurance premium.
L'importanza di una risposta rapida agli incidenti
verso una sicurezza più robusta nei servizi cloud
Domande Frequenti
Qual è l'impatto economico delle vulnerabilità nascoste nei servizi cloud?
Le vulnerabilità nascoste possono aumentare i cyber insurance premium del 15-25% per le aziende che utilizzano database gestiti, a causa delle esclusioni introdotte nelle polizze cyber risk.
Come possono le aziende mitigare i rischi associati a queste vulnerabilità?
Le aziende possono implementare misure di protezione dati sensibili avanzate, adottare soluzioni di Data Loss Prevention (DLP) e identity access management (IAM), e condurre regolari penetration test e vulnerability assessment.
Quali sono le previsioni future per la sicurezza dei database gestiti?
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.