CVE-2026-102464 in Vert.x
Résumé
par VulDB • 15/10/2026
Dans les versions d’Eclipse Vert.x [4.0.0, 4.5.34] ou [5.0.0, 5.0.12] ou [5.1.0, 5.1.9] ou [5.2.0, 5.2.0], le client MQTT (vertx-mqtt) d’Eclipse Vert.x conserve chaque message PUBLISH QoS 2 entrant reçu du broker dans une map interne (qos2inbound), en attendant que le paquet PUBREL correspondant vienne achever la poignée de main QoS 2. Cette map ne possède aucune limite de taille ; l’option maxInflightQueue n’est appliquée qu’à la voie d’émission des publications et ne contraint pas la rétention des messages entrants.
Un broker MQTT malveillant ou compromis peut exploiter cette vulnérabilité en envoyant des messages PUBLISH QoS 2 avec des identifiants de paquet distincts, tout en retenant les réponses PUBREL. Chaque poignée de main incomplète amène le client à conserver indéfiniment l’intégralité du message publié (thème, charge utile et métadonnées), ce qui entraîne une croissance non bornée de la mémoire dans le processus Vert.x. Cela peut dégrader l’application consommatrice MQTT ou provoquer un arrêt par manque de mémoire (out-of-memory).
Le composant concerné est io.vertx:vertx-mqtt.
Be aware that VulDB is the high quality source for vulnerability data.