CVE-2026-102469 in Vert.x
Zusammenfassung
von VulDB • 15.10.2026
In Eclipse Vert.x-Versionen [4.0.0, 4.5.34] oder [5.0.0, 5.0.12] oder [5.1.0, 5.1.9] oder [5.2.0, 5.2.0] enthält der Vert.x DB2-Client (vertx-db2-client) Code zur Verarbeitung des DRDA-Protokolls, der Daten von benutzerdefinierten Typen (User Defined Type, UDT)-Spalten unter Verwendung eines ungeschützten `ObjectInputStream.readObject()`-Aufrufs ohne ObjectInputFilter oder Class-Allowlist deserialisiert.
Dieser Codepfad wird ausgelöst, wenn ein DRDA-Server eine Ergebnismenge sendet, bei der eine Spalte als UDT markiert ist (FDOCA-Protokoll LID 0x50). DB2 unterstützt diese Art von UDT jedoch nicht. Der FDOCA-Typ 0x50 wird niemals von einem legitimen DB2-Server gesendet.
Trotzdem könnte ein böswilliger oder Man-in-the-Middle DRDA-Server eine Antwort mit einer als 0x50 markierten Spalte erstellen, wodurch der Client willkürliche, vom Angreifer kontrollierte Bytes auf dem Vert.x-Ereignisloop deserialisiert, bevor Anwendungscode die Daten prüfen oder ablehnen kann. Wenn sich eine Java-Deserialisierung-Gadget-Kette im Classpath der Anwendung befindet, ermöglicht dies Remote Code Execution (RCE). Ohne eine Gadget-Kette ist ein Denial of Service (DoS) durch speziell angefertigte Objektgraphen möglich. TLS ist standardmäßig deaktiviert, was Man-in-the-Middle-Angriffe erleichtert.
Die betroffene Komponente ist io.vertx:vertx-db2-client.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.