CVE-2026-102469 in Vert.x
요약
\~에 의해 VulDB • 2026. 10. 15.
Eclipse Vert.x 버전 [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] 또는 [5.2.0, 5.2.0]에서 vertx-db2-client(Vert.x DB2 클라이언트)는 DRDA 프로토콜 처리 코드를 포함하고 있으며, 이는 ObjectInputFilter나 클래스 허용 목록(class allowlist) 없이 bare한 ObjectInputStream.readObject() 호출을 사용하여 사용자 정의 형식(User Defined Type, UDT) 열 데이터를 직렬 해제(deserializes)합니다.
이 코드 경로는 DRDA 서버가 UDT로 태그된(프로토콜 LID 0x50인 FDOCA) 결과 세트를 전송할 때 트리거됩니다. 그러나 DB2는 이러한 유형의 UDT를 지원하지 않습니다. 정당한 DB2 서버에서는 FDOCA 0x50 유형이 절대 전송되지 않습니다.
그럼에도 불구하고 악의적이거나 중간자 공격(man-in-the-middle)을 수행하는 DRDA 서버가 0x50으로 태그된 열을 포함하는 응답을 구성하면, 애플리케이션 코드가 데이터를 검사하거나 거부하기 전에 Vert.x 이벤트 루프에서 임의의 공격자 제어 바이트를 직렬 해제하게 됩니다. 애플리케이션의 클래스패스에 Java 직렬화 지렛대 사슬(gadget chain)이 존재한다면 이는 원격 코드 실행(RCE)을 가능하게 합니다. 지렛대 사슬이 없더라도 조작된 객체 그래프를 통해 서비스 거부(Denial of Service, DoS)가 발생할 수 있습니다. TLS는 기본적으로 비활성화되어 있어 중간자 공격 기반의 악용이 가능합니다.
영향을 받는 구성 요소는 io.vertx:vertx-db2-client입니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.