Eclipse Vert.x: Denial of Service durch quadratische uniqueItems-Validierung in JSON Schema
Zusammenfassung
Die uniqueItems-Validierung in Eclipse Vert.x (Modul io.vertx:vertx-json-schema) vergleicht Array-Elemente paarweise in einer quadratischen Schleife ohne Abbruchbedingung oder Grössenbegrenzung. Ein entfernter, nicht authentifizierter Angreifer kann ein mässig grosses JSON-Array senden, das unverhältnismässig viel CPU-Zeit beansprucht und einen Denial of Service verursacht. Auch die Module vertx-openapi, vertx-web-validation und vertx-web-openapi-router sind betroffen, weil sie von vertx-json-schema abhängen. Die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12
- Eclipse Vert.x 5.1.0 bis 5.1.9
- Eclipse Vert.x 5.2.0
- Module: io.vertx:vertx-json-schema, io.vertx:vertx-web-openapi-router, io.vertx:vertx-web-validation, io.vertx:vertx-openapi
- Hinweis: Der CVE-Eintrag und das GHSA nennen für 5.1.9 unterschiedliche Bereiche. Prüfen Sie die genaue Version Ihres Moduls im Advisory.
Behoben in
- vertx-json-schema: 5.2.1, 5.1.10, 4.5.35
- vertx-openapi, vertx-web-validation, vertx-web-openapi-router: 5.2.1, 5.1.9, 4.5.35
- Korrigierte Versionen für andere 4.x- oder 5.x-Zweige: Unbekannt.
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Eigene Empfehlung, nicht vom Hersteller: Falls das Patchen verzögert wird, Grösse des Request-Bodys und Länge der Arrays am Reverse Proxy oder API-Gateway begrenzen und uniqueItems in betroffenen Schemas deaktivieren oder einschränken, sofern die Geschäftslogik dies zulässt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in der Praxis gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Eintrag im CISA-KEV-Katalog nicht verifiziert.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeitsbäume auf die aufgeführten Artefakte prüfen, z. B. mit einer SBOM oder mvn dependency:tree.
- Auf die korrigierte Version des verwendeten Zweigs aktualisieren, nachdem die genaue Version im GHSA-Advisory bestätigt wurde.
- Prüfen, ob die JSON-Validierung vor der Authentifizierung läuft und ob die API aus dem Internet erreichbar ist; diese Systeme priorisieren.
- CPU-Auslastung und Antwortzeiten betroffener Dienste überwachen, um Missbrauch zu erkennen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4m87-8qfr-8p8m github.com
- Eclipse CVE assignment work item #340 gitlab.eclipse.org
- OpenCVE entry CVE-2026-102461 app.opencve.io
- Vulners NVD record CVE-2026-102461 vulners.com
- OSV record CVE-2026-102461 vulners.com
- Strix CVE record CVE-2026-102461 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.