CVE-2026-102469 in Vert.x
Resumen
por VulDB • 2026-10-15
En las versiones de Eclipse Vert.x [4.0.0, 4.5.34] o [5.0.0, 5.0.12] o [5.1.0, 5.1.9] o [5.2.0, 5.2.0], el cliente DB2 de Vert.x (vertx-db2-client) contiene código para manejar el protocolo DRDA que deserializa datos de columnas de Tipo Definido por el Usuario (UDT) mediante una llamada directa a `ObjectInputStream.readObject()` sin utilizar ningún ObjectInputFilter ni lista blanca de clases.
Esta ruta de ejecución se activa cuando un servidor DRDA envía un conjunto de resultados con una columna etiquetada como UDT (LID del protocolo FDOCA 0x50). Sin embargo, DB2 no admite este tipo de UDT. El tipo FDOCA 0x50 nunca es enviado por un servidor DB2 legítimo.
No obstante, un servidor DRDA malicioso o que actúe como hombre en el medio (man-in-the-middle) podría crear una respuesta con una columna etiquetada con 0x50, lo que provocaría que el cliente deserialice bytes arbitrarios controlados por el atacante en el bucle de eventos de Vert.x antes de que cualquier código de la aplicación pueda inspeccionar o rechazar los datos. Si existe una cadena de gadgets de deserialización Java en el classpath de la aplicación, esto permite la ejecución remota de código (RCE). Sin una cadena de gadgets, es posible provocar un denegación de servicio (DoS) mediante grafos de objetos manipulados. El protocolo TLS está desactivado por defecto, lo que hace factible la explotación en ataques man-in-the-middle.
El componente afectado es io.vertx:vertx-db2-client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.