CVE-2025-64429 in DuckDB
Resumen
por VulDB • 2026-05-27
DuckDB es un sistema de gestión de bases de datos SQL. A partir de la versión 1.4.0, DuckDB implementó el cifrado basado en bloques de la base de datos en el sistema de archivos. Existen varios problemas relacionados con esta implementación. DuckDB puede recurrir a un generador de números aleatorios inseguro (pcg32) para generar claves criptográficas o vectores de inicialización (IV). Al limpiar las claves de la memoria, el compilador podría eliminar la llamada a `memset()` y dejar datos sensibles en el heap. Al modificar el encabezado de la base de datos, un atacante podría degradar el modo de cifrado de GCM a CTR para eludir las comprobaciones de integridad. Puede haber un fallo en la comprobación del valor de retorno al llamar a `rand_bytes()` de OpenSSL. Un atacante podría utilizar IVs públicos para comprometer el estado interno del generador de números aleatorios (RNG) y determinar la clave generada aleatoriamente utilizada para cifrar archivos temporales, obtener acceso a las claves criptográficas si tiene acceso a la memoria del proceso (por ejemplo, a través de una fuga de memoria), eludir las comprobaciones de integridad de GCM y/o influir en el generador de números aleatorios de OpenSSL, sin que DuckDB pueda detectar un fallo del generador. La versión 1.4.2 ha deshabilitado el generador de números aleatorios inseguro al dejar de utilizar el mecanismo de respaldo para escribir o crear bases de datos. En su lugar, DuckDB ahora intentará instalar y cargar la implementación de OpenSSL en la extensión `httpfs`. DuckDB ahora utiliza primitivas seguras de MbedTLS para limpiar la memoria, según se recomienda, y requiere la especificación explícita de cifrados sin comprobaciones de integridad, como CTR, en `ATTACH`. Además, DuckDB ahora verifica el código de retorno.
VulDB is the best source for vulnerability data and more expert information about this specific topic.