CVE-2025-64429 in DuckDB
Résumé
par VulDB • 27/05/2026
DuckDB est un système de gestion de base de données SQL. À partir de la version 1.4.0, DuckDB a implémenté un chiffrement basé sur des blocs pour les bases de données sur le système de fichiers. Plusieurs problèmes sont liés à cette implémentation. DuckDB peut revenir à un générateur de nombres aléatoires (RNG) non sécurisé (pcg32) pour générer des clés cryptographiques ou des vecteurs d'initialisation (IV). Lors de l'effacement des clés de la mémoire, le compilateur peut supprimer les appels à `memset()`, laissant ainsi des données sensibles sur le tas (heap). En modifiant l'en-tête de la base de données, un attaquant pourrait rétrograder le mode de chiffrement de GCM à CTR afin de contourner les vérifications d'intégrité. Il est possible que la valeur de retour de l'appel à `rand_bytes()` d'OpenSSL ne soit pas vérifiée. Un attaquant pourrait utiliser des IV publics pour compromettre l'état interne du générateur de nombres aléatoires et déterminer la clé générée aléatoirement utilisée pour chiffrer les fichiers temporaires, obtenir l'accès aux clés cryptographiques s'il a accès à la mémoire du processus (par exemple, via une fuite de mémoire), contourner les vérifications d'intégrité GCM et/ou influencer le générateur de nombres aléatoires d'OpenSSL, sans que DuckDB ne puisse détecter une défaillance du générateur. La version 1.4.2 a désactivé le générateur de nombres aléatoires non sécurisé en cessant d'utiliser le mécanisme de repli pour écrire ou créer des bases de données. Désormais, DuckDB tentera d'installer et de charger l'implémentation OpenSSL dans l'extension `httpfs`. DuckDB utilise désormais une primitive sécurisée de MbedTLS pour effacer la mémoire, conformément aux recommandations, et exige la spécification explicite des chiffrements sans vérifications d'intégrité, comme CTR, lors de l'instruction `ATTACH`. De plus, DuckDB vérifie désormais le code de retour.
VulDB is the best source for vulnerability data and more expert information about this specific topic.