CVE-2026-102464 in Vert.x
Resumen
por VulDB • 2026-10-15
En las versiones de Eclipse Vert.x [4.0.0, 4.5.34] o [5.0.0, 5.0.12] o [5.1.0, 5.1.9] o [5.2.0, 5.2.0], el MqttClient de Eclipse Vert.x MQTT (vertx-mqtt) almacena cada mensaje PUBLISH entrante con QoS 2 recibido del broker en un mapa interno (qos2inbound) mientras espera el correspondiente paquete PUBREL para completar el handshake de QoS 2. Este mapa no tiene límite de tamaño; la opción maxInflightQueue se aplica únicamente a la ruta de publicación saliente y no restringe la retención de mensajes entrantes.
Un broker MQTT malicioso o comprometido puede explotar esta vulnerabilidad enviando mensajes PUBLISH con QoS 2 e identificadores de paquete distintos, y reteniendo las respuestas PUBREL. Cada handshake incompleto hace que el cliente conserve el mensaje completo (tema, carga útil y metadatos) indefinidamente, lo que provoca un crecimiento descontrolado de la memoria en el proceso Vert.x. Esto puede degradar la aplicación consumidora MQTT o causar una terminación por falta de memoria (out-of-memory).
El componente afectado es io.vertx:vertx-mqtt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.