CVE-2025-64429 in DuckDB
Сводка
по VulDB • 27.05.2026
DuckDB — это система управления реляционными базами данных (СУБД), использующая язык SQL. Начиная с версии DuckDB 1.4.0, в DuckDB была реализована блочная шифрование баз данных на файловом уровне. В данной реализации выявлено несколько уязвимостей. DuckDB может использовать небезопасный генератор псевдослучайных чисел (pcg32) в качестве резервного варианта для генерации криптографических ключей или векторов инициализации (IV). При очистке ключей из памяти компилятор может удалить вызов функции memset(), оставив конфиденциальные данные в куче (heap). Изменяя заголовок базы данных, злоумышленник может понизить режим шифрования с GCM на CTR, чтобы обойти проверки целостности. Возможна ошибка в проверке возвращаемого значения при вызове функции OpenSSL `rand_bytes()`. Злоумышленник может использовать публичные векторы инициализации для компрометации внутреннего состояния генератора псевдослучайных чисел (RNG) и определения случайно сгенерированного ключа, используемого для шифрования временных файлов; получить доступ к криптографическим ключам при наличии доступа к памяти процесса (например, через утечку памяти); обойти проверки целостности GCM и/или повлиять на генератор псевдослучайных чисел OpenSSL, при этом DuckDB не сможет обнаружить сбой генератора. В версии 1.4.2 небезопасный генератор псевдослучайных чисел был отключен путем отказа от использования резервного варианта при записи или создании баз данных. Теперь DuckDB попытается установить и загрузить реализацию OpenSSL в расширении `httpfs`. DuckDB теперь использует безопасную примитивную функцию MbedTLS для очистки памяти, как рекомендуется, и требует явного указания шифров без проверок целостности, таких как CTR, при использовании команды `ATTACH`. Кроме того, DuckDB теперь проверяет код возврата.
VulDB is the best source for vulnerability data and more expert information about this specific topic.