Eclipse Vert.x DB2 client: Unsichere Java-Deserialisierung von UDT-Spaltendaten
Zusammenfassung
Der Vert.x DB2 client (io.vertx:vertx-db2-client) deserialisiert User Defined Type (UDT)-Spaltendaten mit Java ObjectInputStream.readObject() ohne Klassenfilter. Ein böswilliger oder ein Man-in-the-Middle-DRDA-Server kann eine präparierte Spalte mit dem FDOCA-LID-Wert 0x50 senden, wodurch der Client vom Angreifer kontrollierte Bytes deserialisiert. Befindet sich eine Java-Deserialisierungs-Gadget-Kette auf dem Klassenpfad der Anwendung, kann dies zu Remote Code Execution führen. Ohne Gadget-Kette kann der Angreifer einen Denial of Service auslösen. TLS ist standardmässig deaktiviert, wodurch Man-in-the-Middle-Angriffe möglich sind.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12
- Eclipse Vert.x 5.1.0 bis 5.1.9
- Eclipse Vert.x 5.2.0
- Komponente: io.vertx:vertx-db2-client
Behoben in
- 4.5.35
- 5.1.10 (5.1.9 sollte wegen eines Fehlers im Release-Prozess nicht verwendet werden)
- 5.2.1
- 5.0.x: Unbekannt. Für diese Linie wurde keine korrigierte Version veröffentlicht.
Umgehung
- Keiner vom Hersteller. Die Behebung erfolgt durch ein Upgrade.
- TLS für DB2-Verbindungen aktivieren, um den Angreifer auf dem Übertragungsweg auszuschliessen. Der Code wird dadurch nicht behoben.
- Die Abhängigkeit vertx-db2-client entfernen, falls der DB2-Client nicht verwendet wird.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Nicht gegen den CISA-KEV-Katalog verifiziert.
- Kein öffentlicher Exploit bekannt (VulDB).
- Niedriger EPSS-Wert (0.00458).
- Die Ausnutzung erfordert eine Netzwerkposition (Man-in-the-Middle) oder die Kontrolle über den DB2-Server. Es sind keine Zugangsdaten nötig.
Unsere Empfehlung
- Maven- und Gradle-Builds auf vertx-db2-client prüfen, direkt oder transitiv, einschliesslich Frameworks, die diese Abhängigkeit mitbringen.
- Auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren, je nach verwendeter Linie. Eine Korrektur für 5.0.x vor dem Verlassen darauf bei Eclipse bestätigen oder auf eine unterstützte Linie wechseln.
- TLS für DB2-Verbindungen aktivieren und den Netzwerkzugriff zwischen Applikationsservern und DB2-Servern einschränken.
- Den Klassenpfad auf Java-Deserialisierungs-Gadget-Bibliotheken prüfen.
- Die Bewertung im GHSA beachten: Der CVSS-v4-Wert der CNA beträgt 9.2 (Critical), während das GHSA es als High (8.1, CVSS v3.1) einstuft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-j4vf-w939-pgxf github.com
- Eclipse CVE assignment work item #347 gitlab.eclipse.org
- Eclipse Vert.x 4.5.35 release notes vertx.io
- Eclipse Vert.x 5.1.10 release notes vertx.io
- Hibernate Reactive pull request 646 github.com
- VulDB CVE-2026-102469 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.