Eclipse Vert.x HTTP Proxy: Denial of Service durch unbegrenzte Heap-Allokation
Zusammenfassung
Der Body-Transformer-Interceptor in der Bibliothek Eclipse Vert.x HTTP Proxy erzwingt das konfigurierte Limit für gepufferte Bytes nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer kann den Server dazu bringen, unbegrenzt Heap-Speicher zu allozieren, was zu einem Denial of Service führen kann. Die Schwachstelle betrifft nur Anwendungen, die einen intercepting Body Transformer verwenden.
Betroffen
- io.vertx:vertx-http-proxy 5.0.0 bis 5.0.12
- io.vertx:vertx-http-proxy 5.1.0 bis 5.1.9
- io.vertx:vertx-http-proxy 5.2.0 (das GHSA-Advisory führt 5.2.0 auf; der CVE-Eintrag führt 5.2.0 standardmässig als nicht betroffen)
Behoben in
- 5.1.10 (gemäss Release Notes von Vert.x 5.1.10 und dem GHSA-Advisory)
- 5.2.1 (gemäss GHSA-Advisory)
- 5.0.x: Unbekannt. Das Feld für gepatchte Versionen im GHSA-Advisory prüfen.
Umgehung
Keine Workaround-Massnahme des Herstellers bekannt.
Provisorische Massnahmen, falls das Patchen verzögert wird (nicht vom Hersteller): Grösse der Request-Bodys auf einem vorgelagerten Reverse Proxy oder WAF begrenzen, Rate Limits einsetzen und Heap-Auslastung sowie Neustarts betroffener Dienste überwachen. Das Senken des Vert.x-Limits hilft möglicherweise nicht, da der Fehler in der Durchsetzung des Limits liegt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Proof-of-Concept gefunden.
- Ausnutzung in freier Wildbahn: Unbekannt. Nicht gegen CISA KEV geprüft.
- EPSS: 0.00258.
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeitsbäume auf vertx-http-proxy in den betroffenen Versionsbereichen prüfen.
- Auf 5.1.10, 5.2.1 oder eine neuere korrigierte Version aktualisieren; die Korrektur für 5.0.x im GHSA-Advisory bestätigen.
- Aus dem Internet erreichbare Anwendungen mit intercepting Body Transformer priorisieren.
- Softwarehersteller fragen, ob ihre Produkte betroffen sind und wann Korrekturen erscheinen.
- Heap-Auslastung und Dienst-Neustarts als Hinweis auf einen Angriff überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mjwh-5qfp-hjgc github.com
- Eclipse CVE assignment work item 351 gitlab.eclipse.org
- OSV: CVE-2026-102475 osv.dev
- Eclipse Vert.x 5.1.10 release blog vertx.io
- VulDB: CVE-2026-102475 (vuln 420533) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.