CVE-2026-102464 in Vert.x
要約
〜によって VulDB • 2026年10月15日
Eclipse Vert.x のバージョン [4.0.0, 4.5.34]、[5.0.0, 5.0.12]、[5.1.0, 5.1.9]、または [5.2.0, 5.2.0] では、Eclipse Vert.x MQTT (vertx-mqtt) の MqttClient が、QoS 2 ハンドシェイクを完了するために対応する PUBREL パケットを待機している間、ブローカーから受信したすべてのインバウンド QoS 2 PUBLISH メッセージを内部マップ（qos2inbound）に格納します。このマップにはサイズ制限がなく、maxInflightQueue オプションはアウトバウンドの publish パスでのみ適用され、インバウンドメッセージの保持には制約を与えません。
悪意のあるまたは侵害された MQTT ブローカーは、一意のパケット識別子を持つ QoS 2 PUBLISH メッセージを送信し、PUBREL レスポンスを withheld（保留）することでこの脆弱性を悪用できます。各未完成のハンドシェイクにより、クライアントはその publish メッセージ（トピック、ペイロード、メタデータ全体）を無期限に保持することになり、Vert.x プロセスにおいて制御不能なメモリ増加を引き起こします。これにより MQTT を消費するアプリケーションのパフォーマンスが低下したり、Out-of-Memory による終了が発生したりする可能性があります。
影響を受けるコンポーネントは io.vertx:vertx-mqtt です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.