CVE-2025-64429

DuckDB, bir SQL veritabanı yönetim sistemidir. DuckDB, DuckDB 1.4.0 sürümünden itibaren dosya sistemindeki veritabanının blok tabanlı şifrelenmesini uygulamıştır. Bu uygulamayla ilgili birkaç sorun bulunmaktadır. DuckDB, kriptografik anahtarlar veya IV'ler oluşturmak için güvenli olmayan bir rastgele sayı üretecine (pcg32) geri dönebilir. Anahtarlar bellekte temizlenirken derleyici memset() işlevini kaldırabilir ve hassas verileri yığında bırakabilir. Bir saldırgan, veritabanı başlığını değiştirerek şifreleme modunu GCM'den CTR'ye düşürebilir ve bütünlük kontrollerini atlatabilir. OpenSSL `rand_bytes()` çağrısında dönüş değerinin kontrol edilmemesi söz konusu olabilir. Bir saldırgan, RNG'nin iç durumunu tehlikeye atmak ve geçici dosyaları şifrelemek için kullanılan rastgele oluşturulmuş anahtarı belirlemek amacıyla genel IV'leri kullanabilir, işlem belleğine erişimi varsa (ör. bellek sızıntısı yoluyla) kriptografik anahtarlara erişebilir, GCM bütünlük kontrollerini atlatabilir ve/veya OpenSSL rastgele sayı üretecini etkileyebilir ve DuckDB üretecin arızasını tespit edemez. 1.4.2 sürümü, veritabanlarına yazmak veya veritabanı oluşturmak için artık geri dönüşü kullanmayarak güvenli olmayan rastgele sayı üretecini devre dışı bırakmıştır. Bunun yerine DuckDB, artık OpenSSL uygulamasını `httpfs` uzantısında kurmaya ve yüklemeye çalışacaktır. DuckDB artık belleği önerildiği şekilde temizlemek için güvenli MbedTLS ilkelini kullanmakta ve `ATTACH` üzerinde CTR gibi bütünlük kontrolleri olmayan şifrelerin açıkça belirtilmesini gerektirmektedir. Ayrıca DuckDB artık dönüş kodunu kontrol etmektedir.