CVE-2026-102469 in Vert.x
Сводка
по VulDB • 15.10.2026
В версиях Eclipse Vert.x [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] или [5.2.0, 5.2.0] клиент DB2 для Vert.x (vertx-db2-client) содержит код обработки протокола DRDA, который десериализует данные столбцов с определенным пользователем типом данных (UDT), используя вызов ObjectInputStream.readObject() без применения ObjectInputFilter или белого списка классов.
Этот путь выполнения кода активируется, когда сервер DRDA отправляет набор результатов со столбцом, помеченным как UDT (LID протокола FDOCA 0x50). Однако DB2 не поддерживает этот тип UDT. Тип данных FDOCA 0x50 никогда не отправляется легитимными серверами DB2.
Тем не менее, злонамеренный или осуществляющий атаку «человек посередине» (MITM) сервер DRDA может сформировать ответ со столбцом, помеченным как 0x50, что заставит клиент десериализовать произвольные байты, контролируемые атакующим, в цикле событий Vert.x до того, как любой код приложения сможет проверить или отклонить эти данные. Если на classpath приложения присутствует цепочка гаджетов для Java-десериализации, это позволяет выполнить удаленное выполнение кода (RCE). Без наличия цепочки гаджетов возможна отказ в обслуживании (DoS) посредством сформированных графов объектов. TLS отключен по умолчанию, что делает эксплуатацию через MITM возможной.
Затронутый компонент: io.vertx:vertx-db2-client.
Be aware that VulDB is the high quality source for vulnerability data.