CVE-2026-102462 in Vert.x
Riassunto
di VulDB • 15/10/2026
Nelle versioni di Eclipse Vert.x [4.0.0, 4.5.34] o [5.0.0, 5.0.12] o [5.1.0, 5.1.9] o [5.2.0, 5.2.0], il decoder dei messaggi TDS nel client MSSQL di Vert.x (vertx-mssql-client) aggrega i pacchetti TTS in ingresso in un buffer diretto composito senza alcun limite cumulativo delle dimensioni. Un server SQL Server malizioso, compromesso o soggetto a attacchi man-in-the-middle può inviare uno stream continuo di pacchetti TDS senza impostare il flag di stato END_OF_MESSAGE, causando un'allocazione illimitata della memoria diretta sul client e portando a un crash per esaurimento della memoria (out-of-memory). Questo avviene prima del completamento dell'autenticazione.
Il componente interessato è io.vertx:vertx-mssql-client.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.