Eclipse Vert.x: Unvollständiger SSL-Context-Cache-Schlüssel erlaubt schwächere TLS-Einstellungen

Zusammenfassung

Der HTTP-Client von Vert.x speichert SSL-Contexts im Cache, der Cache-Schlüssel bildet jedoch nicht alle SSL-Einstellungen vollständig ab. Ein Client kann dadurch einen SSL-Context mit schwächeren Eigenschaften erhalten als angefordert, zum Beispiel einen, der die Prüfung des Hostnamens ignoriert. Ein Angreifer, der die betroffenen TLS-Verbindungen abfangen kann, könnte sich so als Server ausgeben, wobei sich die Auswirkungen auf Vertraulichkeit und Integrität dieser Verbindung beschränken. Die Schwachstelle betrifft die Bibliothek io.vertx:vertx-core, die typischerweise in Java-Anwendungen eingebettet und nicht als eigenständiges Produkt betrieben wird.

Betroffen

• io.vertx:vertx-core 5.0.0 bis 5.0.12 (Angaben der CNA)
• io.vertx:vertx-core 5.1.0 bis 5.1.9 (Angaben der CNA; GHSA nennt 5.1.0 bis 5.1.8)
• io.vertx:vertx-core 5.2.0 (GHSA nennt 5.2.0; die CNA-Angaben markieren 5.2.0 als betroffen)
• Hinweis: Die Quellen unterscheiden sich bei den genauen Bereichen; bitte mit der Herstellerwarnung prüfen.

Behoben in

• Linie 5.1: 5.1.10 (laut GHSA-2vhw-4xwj-r38v)
• Linie 5.2: 5.2.1 (laut GHSA-2vhw-4xwj-r38v); eine sekundäre Quelle empfiehlt 5.2.2, da bei 5.2.1 eine Regression gemeldet wurde
• Linie 5.0: Unbekannt. Es wurde keine bestätigte korrigierte Version 5.0.x gefunden.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Ein Update ist die realistische Massnahme.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt; keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof-of-Concept-Exploit bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS: 0,00226.

Unsere Empfehlung

• Prüfen, ob vertx-core direkt oder über Java-Software von Drittherstellern eingesetzt wird, und die genaue Version in jeder JAR-Datei bzw. jedem Abhängigkeitsbaum ermitteln.
• Auf der Linie 5.1 auf 5.1.10 oder neuer aktualisieren, auf der Linie 5.2 auf 5.2.1 oder neuer (5.2.2 bevorzugt). Für die Linie 5.0 die Herstellerwarnung auf eine korrigierte Version prüfen.
• Falls ein Update verzögert wird, prüfen, welche HTTP-Clients innerhalb derselben JVM unterschiedliche TLS- und Hostnamen-Prüfeinstellungen verwenden, und sicherstellen, dass die Hostnamen-Prüfung dort erzwungen wird, wo sie erforderlich ist.
• Hinweis: Schwachstellen-Scanner können aufgrund des generischen NVD-CPE Fehlalarme melden; die tatsächliche vertx-core-Version bitte verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2vhw-4xwj-r38v github.com
• Eclipse CVE assignment work item #350 gitlab.eclipse.org
• Upstream fix pull request #6404 github.com
• Besu upgrade pull request #11770 (fixed versions) github.com
• VulDB entry 420290 vuldb.com
• OpenCVE CVE-2026-102476 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:35.