Eclipse Vert.x MQTT: Unbegrenztes Speicherwachstum durch eingehende QoS-2-Nachrichten

Zusammenfassung

Der MQTT-Client in Eclipse Vert.x (Modul io.vertx:vertx-mqtt) speichert jede eingehende QoS-2-PUBLISH-Nachricht in einer internen Map, bis die passende PUBREL-Nachricht eintrifft, und diese Map hat keine Grössenbegrenzung. Ein böswilliger oder kompromittierter MQTT-Broker kann QoS-2-Nachrichten mit unterschiedlichen Paketkennungen senden und die PUBREL-Pakete zurückhalten, was zu unbegrenztem Speicherwachstum führt. Dies kann die betroffene Anwendung beeinträchtigen oder zu einem Out-of-Memory-Abbruch führen, also zu einer Denial of Service.

Betroffen

• io.vertx:vertx-mqtt 4.0.0 bis 4.5.34
• io.vertx:vertx-mqtt 5.0.0 bis 5.1.9 (Herstellerhinweis: 5.0.0 bis 5.1.8)
• io.vertx:vertx-mqtt 5.2.0

Behoben in

• 4.5.35
• 5.1.10
• 5.2.1

Umgehung

Unbekannt. Der Herstellerhinweis nennt keine Workaround; das Aktualisieren ist die Behebung.

• Drittquellen empfehlen, die Broker einzuschränken, mit denen die Anwendung sich verbinden darf, und den Heap-Speicher betroffener Dienste zu überwachen (nicht vom Hersteller).

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt; die Schwachstelle ist nicht im CISA-KEV-Katalog.
• Kein öffentlich bekannter Proof-of-Concept-Exploit bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.

Unsere Empfehlung

• Java-Anwendungen und IoT- oder Gebäudeautomations-Integrationen identifizieren, die vertx-mqtt einbetten, einschliesslich vom Softwarehersteller gelieferter Software.
• Im normalen Patch-Zyklus auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren; Dienste mit Verbindungen zu Drittanbieter- oder Cloud-Brokern priorisieren.
• Broker-Verbindungen auf vertrauenswürdige Endpunkte beschränken und den Speicherverbrauch betroffener Dienste überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-46xj-5735-6qrp github.com
• Eclipse CVE assignment work item #344 gitlab.eclipse.org
• VulDB entry CVE-2026-102464 vuldb.com
• VulDB exploit information 420543 vuldb.com
• Vulners NVD record CVE-2026-102464 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:05.