CVE-2026-102469 in Vert.x
Résumé
par VulDB • 15/10/2026
Dans les versions d’Eclipse Vert.x [4.0.0, 4.5.34] ou [5.0.0, 5.0.12] ou [5.1.0, 5.1.9] ou [5.2.0, 5.2.0], le client DB2 de Vert.x (vertx-db2-client) contient du code de gestion du protocole DRDA qui désérialise les données des colonnes de type défini par l’utilisateur (UDT) en utilisant un appel brut à `ObjectInputStream.readObject()` sans aucun ObjectInputFilter ni liste blanche d’classes.
Ce chemin d’exécution est déclenché lorsqu’un serveur DRDA envoie un ensemble de résultats avec une colonne marquée comme UDT (LID 0x50 du protocole FDOCA). Cependant, DB2 ne prend pas en charge ce type de UDT. Le type FDOCA 0x50 n’est jamais envoyé par un serveur DB2 légitime.
Néanmoins, un serveur DRDA malveillant ou interposé (man-in-the-middle) pourrait fabriquer une réponse contenant une colonne marquée avec le tag 0x50, ce qui amènerait le client à désérialiser des octets arbitraires contrôlés par l’attaquant sur la boucle d’événements de Vert.x avant que tout code applicatif n’ait pu inspecter ou rejeter les données. Si une chaîne de gadgets de désérialisation Java est présente dans le classpath de l’application, cela permet une exécution de code à distance (RCE). En l’absence d’une telle chaîne de gadgets, une déni de service (DoS) est possible via des graphes d’objets fabriqués. Le TLS étant désactivé par défaut, l’exploitation en cas d’attaque interposée (man-in-the-middle) est réalisable.
Le composant concerné est io.vertx:vertx-db2-client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.