Eclipse Vert.x MSSQL-Client: Denial of Service durch unbegrenzte TDS-Nachrichtenzusammensetzung
Zusammenfassung
Der TDS-Nachrichtendecoder des Vert.x MSSQL-Clients (vertx-mssql-client), einer Java-Bibliothek für Microsoft SQL Server, sammelt eingehende TDS-Pakete ohne Begrenzung der kumulativen Grösse. Ein bösartiger, kompromittierter oder als Man-in-the-Middle agierender SQL Server kann einen endlosen Strom von Paketen ohne das END_OF_MESSAGE-Flag senden, wodurch der Direktspeicher erschöpft wird und die Client-Anwendung mit einem Out-of-Memory-Fehler abstürzt. Der Angriff erfolgt vor Abschluss der Authentifizierung, es sind also keine Zugangsdaten nötig, der Angreifer muss jedoch der Datenbankserver sein oder den Netzwerkpfad zu diesem kontrollieren.
Betroffen
- io.vertx:vertx-mssql-client (Maven)
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12 (Status der Behebung ungeklärt, siehe Empfehlung)
- Eclipse Vert.x 5.1.0 bis 5.1.9 (Herstellerhinweis nennt bis 5.1.8)
- Eclipse Vert.x 5.2.0
Behoben in
- Eclipse Vert.x 4.5.35
- Eclipse Vert.x 5.1.10
- Eclipse Vert.x 5.2.1
- Eclipse Vert.x 5.0.x: Im Herstellerhinweis ist kein korrigierter Release genannt. Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Die Endpunkte von SQL Servern, die die Anwendung erreichen kann, einschränken.
- TLS zur Datenbank erzwingen, um Man-in-the-Middle-Angriffe zu erschweren.
- Speicherlimits für Container oder JVM für den Direktspeicher setzen, damit ein Out-of-Memory-Zustand eingedämmt wird.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; die Suche war nicht erschöpfend.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Anwendungen inventarisieren, die vertx-mssql-client verwenden, und deren Versionen erfassen.
- Wo die Anwendung es zulässt, auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren.
- Für 5.0.x den Status der Behebung bei Eclipse bestätigen, bevor von Sicherheit ausgegangen wird.
- Die Workarounds anwenden, bis das Update erfolgt ist.
- Speicherverbrauch und Neustarts der Anwendungen auf Anzeichen von Missbrauch überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fg6c-83v6-vhq4 github.com
- Eclipse CVE assignment ticket #346 gitlab.eclipse.org
- Vert.x 4.5.35 release notes vertx.io
- Vert.x 5.2.1 release notes vertx.io
- VulDB entry CVE-2026-102462 vuldb.com
- Vulners CIRCL GHSA-FG6C-83V6-VHQ4 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.