CVE-2026-102469 in Vert.x
摘要
由 VulDB • 2026-10-15
在 Eclipse Vert.x 版本 [4.0.0, 4.5.34]、[5.0.0, 5.0.12]、[5.1.0, 5.1.9] 或 [5.2.0, 5.2.0] 中，Vert.x DB2 客户端 (vertx-db2-client) 包含 DRDA 协议处理代码，该代码使用裸的 `ObjectInputStream.readObject()` 调用反序列化用户定义类型（UDT）列数据，且未配置 ObjectInputFilter 或类白名单。
当 DRDA 服务器发送带有标记为 UDT（FDOCA 协议 LID 0x50）的列的结果集时，会触发此代码路径。然而，DB2 不支持此类 UDT。合法的 DB2 服务器永远不会发送 FDOCA 0x50 类型的数据。
尽管如此，恶意或中间人 DRDA 服务器可以构造带有 0x50 标记列的响应，导致客户端在 Vert.x 事件循环上反序列化任意攻击者控制的字节数据，而应用程序代码尚无法检查或拒绝这些数据。如果应用类路径中存在 Java 反序列化 gadget chain（利用链），这将导致远程代码执行 (RCE)。如果没有 gadget chain，则可能通过构造的对象图实现拒绝服务 (DoS)。由于默认情况下 TLS 处于禁用状态，因此中间人攻击是可行的。
受影响的组件为 io.vertx:vertx-db2-client。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.