CVE-2026-102469 in Vert.x
सारांश
द्वारा VulDB • 15/10/2026
Eclipse Vert.x के संस्करण [4.0.0, 4.5.34] या [5.0.0, 5.0.12] या [5.1.0, 5.1.9] या [5.2.0, 5.2.0] में, Vert.x DB2 क्लाइंट (vertx-db2-client) में DRDA प्रोटोकॉल हैंडलिंग कोड होता है जो एक खाली ObjectInputStream.readObject() कॉल का उपयोग करके User Defined Type (UDT) कॉलम डेटा के डिसेरियलाइज़ेशन करता है, जिसमें कोई ObjectInputFilter या क्लास अलाउलिस्ट नहीं होती।
यह कोड पथ तब सक्रिय होता है जब एक DRDA सर्वर परिणाम सेट भेजता है जिसमें UDT (FDOCA प्रोटोकॉल LID 0x50) के रूप में टैग किया गया कॉलम शामिल हो। हालांकि, DB2 इस प्रकार की UDT का समर्थन नहीं करता है। FDOCA 0x50 प्रकार को कभी भी एक वैध DB2 सर्वर द्वारा भेजा नहीं जाता है।
फिर भी, एक दुर्भावनापूर्ण या मैन-इन-द-मिडल (MITM) DRDA सर्वर 0x50 टैग वाले कॉलम के साथ एक प्रतिक्रिया तैयार कर सकता है, जिससे Vert.x इवेंट लूप पर किसी भी एप्लिकेशन कोड द्वारा डेटा की जांच या अस्वीकार करने से पहले आक्रामक द्वारा नियंत्रित मनमाने बाइट्स का डिसेरियलाइज़ेशन हो जाता है। यदि एप्लिकेशन के क्लासपाथ पर एक Java डिसेरियलाइजेशन गैडगेट चेन मौजूद है, तो यह रिमोट कोड एक्जीक्यूशन (RCE) की अनुमति देता है। बिना किसी गैडगेट चेन के, तैयार किए गए ऑब्जेक्ट ग्राफ्स के माध्यम से सर्विस डिनियल (DoS) संभव है। TLS डिफ़ॉल्ट रूप से अक्षम होता है, जिससे मैन-इन-द-मिडल एक्सप्लोइटेशन व्यावहारिक हो जाता है।
प्रभावित घटक io.vertx:vertx-db2-client है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.