CVE-2026-102469 in Vert.x
要約
〜によって VulDB • 2026年10月15日
Eclipse Vert.x のバージョン [4.0.0, 4.5.34]、[5.0.0, 5.0.12]、[5.1.0, 5.1.9]、または [5.2.0, 5.2.0] では、Vert.x DB2 クライアント (vertx-db2-client) に DRDA プロトコル処理コードが含まれており、ObjectInputFilter やクラスのホワイトリストなしで bare な ObjectInputStream.readObject() を使用して User Defined Type (UDT) カラムデータを直列化解除します。
このコードパスは、DRDA サーバーが UDT としてタグ付けされたカラム（FDOCA プロトコル LID 0x50）を持つ結果セットを送信した際にトリガーされます。ただし、DB2 はこのようなタイプの UDT をサポートしていません。FDOCA 0x50 タイプは正規の DB2 サーバーからは送信されません。
それにもかかわらず、悪意のあるサーバーまたは中間者 (Man-in-the-Middle) の DRDA サーバーが 0x50 でタグ付けされたカラムを含む応答を生成すると、アプリケーションコードがデータを検査または拒否する前に Vert.x イベントループ上で攻撃者が制御する任意のバイト列の直列化解除が行われます。Java のデシリアライゼーション用ガジェットチェーンがアプリケーションの classpath に存在する場合、これによりリモートコード実行 (RCE) が可能になります。ガジェットチェーンがない場合でも、不正なオブジェクトグラフによってサービス妨害 (DoS) が発生する可能性があります。TLS はデフォルトで無効化されているため、中間者攻撃による悪用が実現可能です。
影響を受けるコンポーネントは io.vertx:vertx-db2-client です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.