Eclipse Vert.x: Denial of Service bei der Array-Dekodierung im PostgreSQL-Client
Zusammenfassung
Eclipse Vert.x enthält das Modul vertx-pg-client, einen PostgreSQL-Client. Der Decoder für binäre Arrays reserviert ein Java-Array anhand einer 32-Bit-Dimensionsanzahl, die der Datenbankserver liefert, ohne obere Grenze. Ein böswilliger oder kompromittierter PostgreSQL-Server oder ein Angreifer auf dem Übertragungsweg einer unverschlüsselten Verbindung kann eine manipulierte DataRow-Nachricht senden, die eine Allokation im mehrere Gigabyte umfassenden Bereich und einen OutOfMemoryError auslöst, wodurch der Client abstürzt. Die Auswirkung beschränkt sich auf die Verfügbarkeit, und ein Absturz kann zusätzlich andere Verbindungen auf demselben Event Loop unterbrechen.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12
- Eclipse Vert.x 5.1.0 bis 5.1.9 (das Advisory nennt bis 5.1.8; 5.1.9 wird als betroffen behandelt)
- Eclipse Vert.x 5.2.0
- Komponente: io.vertx:vertx-pg-client
- Transitive Abhängigkeiten sind ebenfalls betroffen, daher Abhängigkeitsbäume prüfen.
Behoben in
- Eclipse Vert.x 4.5.35
- Eclipse Vert.x 5.1.10
- Eclipse Vert.x 5.2.1
- Eclipse Vert.x 5.0.x: Unbekannt. In den Quellen wurde kein korrigiertes 5.0.x-Release gefunden; sofern kompatibel, auf 5.1.10 oder neuer wechseln.
Umgehung
- Vom Hersteller wird kein Workaround genannt. Das Aktualisieren ist die Behebung.
- TLS für Datenbankverbindungen erzwingen.
- Nur Verbindungen zu vertrauenswürdigen Datenbankservern zulassen.
Ausnutzung
- Kein öffentlicher Exploit oder Proof of Concept gefunden.
- Keine Ausnutzung in freier Wildbahn gefunden. CISA SSVC bewertet die Ausnutzung als none.
- VulDB meldet keinen verfügbaren Exploit.
- Der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Prüfen, ob Anwendungen vertx-pg-client verwenden, einschliesslich transitiver Abhängigkeiten.
- Auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren. Für 5.0.x einen Wechsel auf 5.1.10 oder neuer planen.
- TLS für PostgreSQL-Verbindungen erzwingen und Verbindungen auf vertrauenswürdige Datenbankserver beschränken.
- Auf Dienstneustarts und OutOfMemoryError-Meldungen achten.
- Priorität: mittel für Anwendungen, die über nicht kontrollierte Netze verbinden, niedrig für interne Umgebungen mit TLS und vertrauenswürdigen Hosts.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xqmh-8fhj-48fp github.com
- Eclipse CVE assignment work item #345 gitlab.eclipse.org
- Fix pull request #1726 (vertx-sql-client) github.com
- VulDB CVE-2026-102463 vuldb.com
- OpenCVE CVE-2026-102463 app.opencve.io
- Vulners NVD mirror CVE-2026-102463 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.