概述
2026年8月3日，DuckDB 安全团队发布了一批重要的安全修复公告，涵盖了在近期模糊测试（Fuzzing）安全审计中发现的 8个严重漏洞。这些漏洞涉及堆内存越界读取、整数下溢、栈溢出等多个高危类别，其中最严重的漏洞（Vuln164）可导致远程代码执行。
本文将对这些漏洞进行深度解析，并提供生产环境防护建议。
漏洞全景概览
| 漏洞编号 | 漏洞类型 | 影响组件 | 严重程度 | CVSS 评分 |
|---|---|---|---|---|
| Vuln164 | 堆内存损坏 | dsdgen() | 高危 | 8.1 |
| Vuln163 | 断言失败 | dsdgen() | 中危 | 5.5 |
| Vuln162 | 栈溢出 | VARIANT ARRAY | 中危 | 5.3 |
| Vuln161 | 整数下溢 | VariantMetadata | 高危 | 7.5 |
| Vuln160 | 内部错误 | decimal variant | 低危 | 3.7 |
| Vuln158 | 整数溢出 | json_pretty() | 中危 | 5.5 |
| Vuln156 | 内部错误 | json_execute_serialized_sql | 低危 | 3.7 |
| Bug8 | 堆越界读取 | approx_quantile | 高危 | 7.8 |
漏洞详细解析
1. Vuln164: dsdgen() 堆内存损坏（最严重）
影响范围：所有使用 dsdgen() 表生成器的场景
漏洞原理：
dsdgen() 是 DuckDB 中用于生成 TPC-DS 测试数据的内置表生成器。该函数内部维护了全局和线程本地状态（表定义、行计数器、每表缓存），这些状态在首次调用时根据 scale factor（缩放因子）进行初始化。
攻击向量：
当使用不同 scale factor 多次调用 dsdgen() 且设置 overwrite:=true 时，旧的状态不会被正确清理，导致堆内存被重复写入和损坏：
-- 触发漏洞的查询
SELECT * FROM dsdgen(sf := 1, overwrite := true) AS t1;
SELECT * FROM dsdgen(sf := 10, overwrite := true) AS t2;
-- 第二次调用时，旧的状态内存被损坏
修复方案：
在 v1.5.5+ 中，dsdgen() 的内部状态管理已更新，确保每次调用时正确清理旧状态。
2. Vuln163: dsdgen() 的 scale factor 类型检查绕过
影响范围：使用 dsdgen(sf := 'nan') 的场景
漏洞原理：
TPCDSDSDGenGenerator 中的 scale factor 安全检查只验证了 scale <= 0 和 scale > 777 两个条件。然而，当传入 NaN（非数字）值时，所有数值比较都会返回 false，导致安全检查被完全绕过：
-- 绕过安全检查的查询
SELECT * FROM dsdgen(sf := 'nan');
-- 触发断言失败，导致进程崩溃
修复方案：
增加对 NaN 和无穷大值的检查：
// 修复后的安全检查
if (!std::isfinite(scale) || scale <= 0 || scale > 777) {
throw std::invalid_argument("Scale factor must be a finite number between 0 and 777");
}
3. Vuln162: VARIANT ARRAY 无限递归导致栈溢出
影响范围：处理深层嵌套 VARIANT ARRAY 数据的场景
漏洞原理：
AnalyzeValueData 和 WriteValueData 函数在处理 VARIANT 类型数据时会递归处理每个嵌套层级。当处理深层嵌套的 VARIANT ARRAY 数据时，递归深度没有限制，导致栈溢出：
-- 模拟深层嵌套数据
CREATE TABLE nested_data AS
SELECT {'level1': {'level2': {'level3': ...}}} AS deeply_nested
FROM generate_series(1, 100000);
修复方案： 添加递归深度限制，并改用堆分配替代递归：
static constexpr uint32_t MAX_VARIANT_RECURSION_DEPTH = 64;
void AnalyzeValueData(const VariantValue& value, uint32_t depth) {
if (depth > MAX_VARIANT_RECURSION_DEPTH) {
throw std::runtime_error("VARIANT value too deeply nested");
}
// ... 处理逻辑
}
4. Vuln161: VariantMetadata 整数下溢导致堆越界读取
影响范围：处理包含字典编码的 Parquet VARIANT 数据的场景
漏洞原理：
在 VariantMetadata::VariantMetadata 构造函数中，字典字符串长度通过 next_offset - last_offset 计算。当使用无符号整数运算时，如果 next_offset < last_offset（可能由于数据损坏或恶意构造），会发生整数下溢，导致计算出的长度值异常大，进而触发堆越界读取：
// 有问题的代码
uint64_t length = next_offset - last_offset; // 下溢！
修复方案： 添加安全检查，确保偏移量顺序正确：
if (next_offset < last_offset) {
throw std::runtime_error("Invalid variant metadata: offset underflow");
}
uint64_t length = next_offset - last_offset;
5. Vuln160: decimal variant 宽度计算错误
影响范围：处理 INT32_MIN/INT64_MIN 值的 VARIANT DECIMAL 数据
漏洞原理：
ComputeDecimalWidth 函数在计算 DECIMAL 类型宽度时，会先对原始值取负。然而，对于 INT32_MIN（-2147483648）和 INT64_MIN（-9223372036854775808），取负操作会导致整数溢出，因为最小负数的绝对值无法在相同位宽的有符号整数中表示：
-- 触发漏洞的查询
SELECT {'value': -2147483648}::VARIANT;
SELECT {'value': -9223372036854775808}::VARIANT;
修复方案： 在取负前先检查是否为最小负数：
int64_t abs_value = (value == INT64_MIN) ? INT64_MAX : -value;
6. Vuln158: json_pretty() 字符串长度溢出
影响范围：格式化超大 JSON 数据的场景
漏洞原理：
json_pretty() 函数计算格式化输出长度时使用 64 位 size_t 类型，然后将结果传递给 string_t 构造函数。然而，string_t 的长度字段是 32 位的 uint32_t。当输出长度超过 UINT32_MAX（约 4GB）时，长度会回绕，导致内存分配错误：
-- 处理超大 JSON 数据
SELECT json_pretty(massive_json_data)
FROM large_table;
修复方案：
在传递给 string_t 之前检查长度是否超出 UINT32_MAX 限制。
7. Vuln156: json_execute_serialized_sql 空指针解引用
影响范围：使用 PRAGMA json_execute_serialized_sql(NULL) 的场景
漏洞原理：
ExecuteJsonSerializedSqlPragmaFunction 函数在处理 NULL 输入时未进行空指针检查，导致直接调用 GetValueUnsafe<string_t> 时触发内部错误：
-- 触发漏洞的查询
PRAGMA json_execute_serialized_sql(NULL);
修复方案： 在处理输入参数前添加空指针检查：
if (parameters.IsNull(0)) {
return Value::NULLVAL();
}
8. Bug8: approx_quantile 堆越界读取
影响范围：使用 APPROX_QUANTILE 聚合函数的场景
漏洞原理：
通过精心构造的 to_aggregate_state + finalize 调用序列，可以触发堆越界读取。这是一个典型的 use-after-free 类漏洞：
-- 触发漏洞的查询序列
SELECT approx_quantile(value, 0.5) FROM (
SELECT 1 AS value UNION ALL SELECT 2 UNION ALL SELECT 3
);
修复方案： 加强聚合状态的内存管理，确保在 finalize 后正确释放资源。
生产环境防护建议
1. 立即升级
强烈建议所有生产环境用户立即升级至 DuckDB 1.5.5 或更高版本：
# pip 安装
pip install duckdb>=1.5.5
# Conda 安装
conda install -c conda-forge duckdb>=1.5.5
# CLI 安装
curl -L https://github.com/duckdb/duckdb/releases/download/v1.5.5/duckdb_cli-linux-amd64.zip -o duckdb.zip
unzip duckdb.zip
chmod +x duckdb
2. 输入验证与过滤
对于处理用户输入的场景，实施严格的输入验证：
import duckdb
def safe_execute(conn, sql, params=None):
"""安全的 SQL 执行函数"""
# 检查 SQL 长度
if len(sql) > 10000:
raise ValueError("SQL query too long")
# 检查高风险函数调用
risky_patterns = ['dsdgen', 'json_pretty', 'approx_quantile']
for pattern in risky_patterns:
if pattern in sql.lower() and not is_trusted_source():
raise ValueError(f"Unauthorized function: {pattern}")
return conn.execute(sql, params)
3. 资源限制配置
import duckdb
conn = duckdb.connect(
":memory:",
config={
'max_memory': '4GB', # 限制内存使用
'threads': '4', # 限制线程数
'recursion_limit': '1000', # 限制递归深度
'query_timeout': '30000', # 30秒超时
}
)
4. 监控与告警
部署实时监控，检测异常查询模式：
import logging
import duckdb
logging.basicConfig(level=logging.INFO)
logger = logging.getLogger(__name__)
class SecureDuckDB:
def __init__(self, conn):
self.conn = conn
self.query_log = []
def execute(self, sql, **kwargs):
# 记录查询
self.query_log.append({
'sql': sql[:200],
'timestamp': datetime.now().isoformat()
})
# 检测异常模式
if len(sql) > 10000:
logger.warning("Suspiciously long query detected")
try:
result = self.conn.execute(sql, **kwargs)
return result
except Exception as e:
logger.error(f"Query failed: {e}")
raise
5. 安全审计清单
定期检查以下安全配置项：
| 检查项 | 建议值 | 检查方法 |
|---|---|---|
| DuckDB 版本 | >= 1.5.5 | SELECT version() |
| 内存限制 | 根据业务需求 | SHOW max_memory |
| 线程限制 | <= CPU核心数 | SHOW threads |
| 递归限制 | 1000-5000 | SHOW recursion_limit |
| 查询超时 | 30-300秒 | SHOW query_timeout |
与传统数据库的安全对比
| 安全特性 | DuckDB 1.5.5 | PostgreSQL 16 | MySQL 8.0 | SQLite |
|---|---|---|---|---|
| 安全补丁频率 | 每个补丁版本 | 季度更新 | 季度更新 | 按需求 |
| 内存安全 | 自动管理 | 手动管理 | 手动管理 | 手动管理 |
| 输入验证 | 内置检查 | 需手动实现 | 需手动实现 | 需手动实现 |
| 资源限制 | SQL 配置 | psql 配置 | 需手动配置 | 无内置支持 |
| ** fuzzing 覆盖** | 持续进行 | 有限 | 有限 | 无 |
| CVE 响应时间 | 数天 | 数周 | 数周 | 不确定 |
变现建议
1. 安全咨询服务
提供 DuckDB 安全审计服务，帮助企业识别和修复安全漏洞。单个项目收费范围：
- 小型项目（<10 个查询）：$2,000 - $5,000
- 中型项目（10-50 个查询）：$5,000 - $15,000
- 大型项目（>50 个查询）：$15,000 - $50,000
2. 安全监控 SaaS
开发基于 DuckDB 的安全监控服务：
- 实时监控异常查询
- 自动生成安全报告
- 提供修复建议
- 月费定价：$299 - $999/月
3. 安全培训与认证
提供 DuckDB 安全培训：
- 在线课程：$499 - $999/人
- 企业培训：$5,000 - $20,000/次
- 认证考试：$299/人
4. 安全插件开发
开发增强安全功能的 DuckDB 扩展：
- 高级输入验证
- 查询沙箱
- 审计日志
- 许可定价：$99 - $499/月
5. 应急响应服务
提供 7x24 安全应急响应：
- 紧急响应：$5,000 - $10,000/次
- 深度分析：$10,000 - $25,000/次
- 长期支持：$50,000 - $100,000/年
总结
2026年8月的安全审计发现了一系列严重漏洞，提醒我们即使是成熟的数据库系统也需要持续的安全关注。通过及时升级、实施输入验证、配置资源限制、部署监控告警等防护措施，可以有效降低安全风险。
记住：安全不是一次性的任务，而是一个持续的过程。定期进行安全审计，保持软件更新，是保护数据资产的关键。
更多信息：