CVE-2025-64429

DuckDB bir SQL məlumat bazası idarəetmə sistemidir. DuckDB 1.4.0 versiyasından başlayaraq fayl sistemində DB-nin blok əsaslı şifrələməsini tətbiq etmişdir. Bu tətbiqlə bağlı bir neçə problem mövcuddur. DuckDB kriptoqrafik açarları və ya IV-ləri yaratmaq üçün təhlükəsiz olmayan təsadüfi ədəd generatoruna (pcg32) geri dönə bilər. Açarlar yaddaşdan təmizlənərkən, kompilyator memset()-i silə və həssas məlumatları heap-də saxlaya bilər. Hücumçu məlumat bazasının başlığını dəyişdirərək bütövlük yoxlamalarını yan keçmək üçün şifrələmə rejimini GCM-dən CTR-ə endirə bilər. OpenSSL `rand_bytes()` funksiyasının çağırılması zamanı qaytarılan dəyərin yoxlanılmaması halı ola bilər. Hücumçu ictimai IV-lərdən istifadə edərək RNG-nin daxili vəziyyətini korlaya və müvəqqəti faylları şifrələmək üçün istifadə olunan təsadüfi yaradılmış açarı müəyyən edə, proses yaddaşına çıxışı olduqda (məsələn, yaddaş sızması vasitəsilə) kriptoqrafik açarlara giriş əldə edə, GCM bütövlük yoxlamalarını yan keçə və/və ya OpenSSL təsadüfi ədəd generatoruna təsir göstərə bilər və DuckDB generatorun uğursuzluğunu aşkar edə bilməz. Versiya 1.4.2-də məlumat bazalarına yazmaq və ya onları yaratmaq üçün artıq geri dönüş mexanizmindən istifadə edilmir və təhlükəsiz olmayan təsadüfi ədəd generatoru deaktiv edilmişdir. Bunun əvəzinə, DuckDB indi `httpfs` genişlənməsindəki OpenSSL tətbiqini quraşdırmağa və yükləməyə çalışacaqdır. DuckDB artıq tövsiyə olunduğu kimi yaddaşı təmizləmək üçün təhlükəsiz MbedTLS primitivindən istifadə edir və `ATTACH` zamanı CTR kimi bütövlük yoxlamaları olmayan şifrlərin açıq şəkildə göstərilməsini tələb edir. Əlavə olaraq, DuckDB artıq qaytarılan kodu yoxlayır.