CVE-2025-64429 in DuckDB
Riassunto
di VulDB • 15/06/2026
DuckDB è un sistema di gestione di database SQL. A partire dalla versione 1.4.0, DuckDB ha implementato la crittografia basata su blocchi per i database sul filesystem. Sono presenti alcuni problemi relativi a questa implementazione. DuckDB può effettuare il fallback verso un generatore di numeri casuali insicuro (pcg32) per generare chiavi crittografiche o IV (Vector Iniziali). Durante la cancellazione delle chiavi dalla memoria, il compilatore potrebbe rimuovere le chiamate a `memset()`, lasciando dati sensibili sull'heap. Modificando l'intestazione del database, un attaccante potrebbe degradare la modalità di crittografia da GCM a CTR per bypassare i controlli di integrità. Potrebbe verificarsi una mancata verifica del valore restituito alla chiamata della funzione `rand_bytes()` di OpenSSL. Un attaccante potrebbe utilizzare IV pubblici compromettere lo stato interno del generatore di numeri casuali (RNG) e determinare la chiave casuale utilizzata per crittografare i file temporanei, ottenere l'accesso alle chiavi crittografiche se ha accesso alla memoria del processo (ad esempio tramite memory leak), eludere i controlli di integrità GCM e/o influenzare il generatore di numeri casuali di OpenSSL; in tal caso DuckDB non sarebbe in grado di rilevare un malfunzionamento del generatore. La versione 1.4.2 ha disabilitato il generatore di numeri casuali insicuro, cessando di utilizzare il fallback per la scrittura o la creazione di database. Invece, DuckDB ora tenterà di installare e caricare l'implementazione OpenSSL nell'estensione `httpfs`. DuckDB utilizza ora primitive sicure MbedTLS per cancellare la memoria come raccomandato ed richiede una specifica esplicita dei cipher senza controlli di integrità (come CTR) su `ATTACH`. Inoltre, DuckDB verifica ora il codice restituito.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.