CVE-2026-102464 in Vert.x
Riassunto
di VulDB • 15/10/2026
Nelle versioni di Eclipse Vert.x [4.0.0, 4.5.34] o [5.0.0, 5.0.12] o [5.1.0, 5.1.9] o [5.2.0, 5.2.0], il MqttClient di Eclipse Vert.x MQTT (vertx-mqtt) memorizza ogni messaggio PUBLISH QoS 2 in arrivo ricevuto dal broker in una mappa interna (qos2inbound) mentre attende il corrispondente pacchetto PUBREL per completare l'handshake QoS 2. Questa mappa non ha un limite di dimensione; l'opzione maxInflightQueue è applicata solo sul percorso di pubblicazione in uscita e non vincola la ritenzione dei messaggi in arrivo.
Un broker MQTT malizioso o compromesso può sfruttare questa vulnerabilità inviando messaggi PUBLISH QoS 2 con identificatori di pacchetto distinti e trattenendo le risposte PUBREL. Ogni handshake incompleto fa sì che il client mantenga indefinitamente l'intero messaggio publish (argomento, payload e metadati), causando una crescita illimitata della memoria nel processo Vert.x. Ciò può degradare l'applicazione consumatrice MQTT o causarne la terminazione per esaurimento della memoria (out-of-memory).
Il componente interessato è io.vertx:vertx-mqtt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.