Eclipse Vert.x Web: Umgehung der Scope-Prüfung in ChainAuthHandler

Zusammenfassung

Eclipse Vert.x Web (io.vertx:vertx-web) in den Versionen 4.0.0 bis 4.5.34, 5.0.0 bis 5.0.12, 5.1.0 bis 5.1.9 und 5.2.0 enthält eine Umgehung der Scope-Prüfung im ChainAuthHandler. Ist ein Benutzer bereits durch einen früheren Handler in der Request-Pipeline authentifiziert, überspringt die Chain die konfigurierten Scope-Prüfungen (withScope() oder withScopes()) sowohl im any()- als auch im all()-Modus. Ein Angreifer mit einem gültigen Token, aber unzureichenden Scopes, kann so auf Ressourcen zugreifen, die durch Scope-Anforderungen geschützt sind, was die Vertraulichkeit und Integrität beeinträchtigt. Betroffen sind Anwendungen, die verkettete Authentifizierungs-Handler mit Scope-Prüfungen kombinieren, etwa verschachtelte Routen mit JWT- oder OAuth2-Authentifizierung.

Betroffen

• Eclipse Vert.x 4.0.0 bis 4.5.34
• Eclipse Vert.x 5.0.0 bis 5.0.12
• Eclipse Vert.x 5.1.0 bis 5.1.9
• Eclipse Vert.x 5.2.0

Behoben in

• 4.5.35 (4.5.x-Linie)
• 5.1.10 (5.1.x-Linie; 5.1.9 sollte nicht verwendet werden)
• 5.2.1 (5.2.x-Linie)
• 5.0.x: Unbekannt. In den Quellen wurde keine korrigierte Version für die 5.0-Linie gefunden.

Umgehung

Keine vom Hersteller dokumentierte Workaround-Massnahme. Das Aktualisieren ist die dokumentierte Abhilfe.

• Bis zur Korrektur Routen prüfen, bei denen eine übergeordnete Route authentifiziert und eine untergeordnete Route für die Scope-Prüfung auf eine Chain setzt.
• Sicherstellen, dass Scope-Anforderungen auf der untergeordneten Route durchgesetzt werden, und überflüssige, sich überschneidende Authentifizierungs-Handler wo möglich entfernen.

Ausnutzung

• Nicht im Katalog der CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Exploit und kein Proof of Concept gefunden. Dies belegt nicht, dass keiner existiert.

Unsere Empfehlung

• Anwendungen identifizieren, die von io.vertx:vertx-web abhängen, und deren Versionen mit der Liste der korrigierten Versionen vergleichen.
• Auf die korrigierte Version der jeweiligen Linie aktualisieren, zuerst bei öffentlich erreichbaren Diensten, die JWT- oder OAuth2-Scopes verwenden.
• Die Durchsetzung der Scope-Prüfung nach dem Update testen und bis dahin verschachtelte Routen mit sich überschneidenden Authentifizierungs-Handlern überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2p39-cr56-w58j github.com
• Eclipse CVE assignment ticket #339 gitlab.eclipse.org
• Upstream fix pull request #2956 github.com
• Eclipse Vert.x 5.1.10 release blog vertx.io
• OSV entry CVE-2026-102460 osv.dev
• VulDB entry 420315 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:08.