Eclipse Vert.x: Denial of Service durch unbegrenzte Dekomprimierung in WebSockets
Zusammenfassung
Eclipse Vert.x, ein Java-Toolkit, das über die Bibliothek io.vertx:vertx-core in Applikationen eingebettet wird, begrenzt den beim Dekomprimieren von WebSocket-Frames und -Nachrichten allokierten Speicher nicht. Ein Angreifer aus dem Netzwerk kann eine komprimierte Zip-Bomb-Nutzlast senden, um Ressourcen zu erschöpfen und einen Denial of Service auszulösen. Es sind weder Authentifizierung noch Benutzerinteraktion nötig, und die Auswirkung beschränkt sich auf die Verfügbarkeit. Die Exponierung hängt davon ab, ob eine Applikation mit einer betroffenen Version komprimierten WebSocket-Verkehr akzeptiert.
Betroffen
- io.vertx:vertx-core 4.0.0 bis 4.5.34
- io.vertx:vertx-core 5.0.0 bis 5.1.8 laut Herstellerhinweis; der CVE-Eintrag nennt zusätzlich 5.0.x bis 5.0.12 und 5.1.9
- io.vertx:vertx-core 5.2.0
Behoben in
- 4.5.35 (4.x-Linie)
- 5.1.10 (5.1.x-Linie)
- 5.2.1 (5.2.x-Linie)
- Unbekannt für die 5.0.x-Linie.
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert; der Herstellerhinweis verweist auf ein Update.
- Einschätzung der Analysten: Falls die Applikation keine WebSocket-Kompression benötigt, diese bis zum Patch deaktivieren; dies mit dem Entwicklungsteam abstimmen.
- Einschätzung der Analysten: Wo möglich, Grenzwerte für die Grösse von Requests in einem Reverse Proxy oder Load Balancer vor dem Dienst durchsetzen.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, automatable yes, technical impact partial.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; eine Quelle führt die Schwachstelle nicht im KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden; der öffentliche Fix-Commit beschreibt den Mechanismus.
Unsere Empfehlung
- Versionen von io.vertx:vertx-core in eigenen Applikationen und Produkten von Drittanbietern mittels SBOMs und Dependency-Scans erfassen.
- Je nach Linie auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren.
- Bei Eclipse bestätigen lassen, wie der Fix-Status der 5.0.x-Linie aussieht und wie die Abweichung bei 5.1.9 zu bewerten ist.
- Internetseitig erreichbare Dienste, die WebSockets mit aktivierter Kompression nutzen, priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h722-h6c2-6j3c github.com
- Eclipse CVE assignment work item #341 gitlab.eclipse.org
- OSV entry CVE-2026-102467 osv.dev
- Eclipse Vert.x fix pull request #6412 github.com
- VulDB entry CVE-2026-102467 vuldb.com
- Web3signer pull request #1268 (downstream fix to Vert.x 5.2.2) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.