Eclipse Vert.x: Speichererschöpfung durch gRPC-Compression-Bomb
Zusammenfassung
Das gRPC-Modul von Eclipse Vert.x (vertx-grpc-server) begrenzt die konfigurierte maximale Nachrichten-Grösse nur auf die empfangenen, komprimierten Bytes, nicht auf den unkomprimierten Inhalt. Ein entfernter, nicht authentifizierter Angreifer kann eine komprimierte Nachricht senden, die weit über das Limit expandiert, sodass der Endpunkt mehr Speicher als konfiguriert belegt. Die Folge ist ein Denial of Service durch Speichererschöpfung; Codeausführung oder Datenzugriff werden nicht beschrieben. Eine Gefährdung besteht nur, wenn eine Anwendung diese Bibliothek nutzt und einen gRPC-Serverendpunkt betreibt.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34 (vertx-grpc-server)
- Eclipse Vert.x 5.0.0 bis 5.0.12 (CVE-Eintrag; Herstellerhinweis nennt 5.0.x nicht)
- Eclipse Vert.x 5.1.0 bis 5.1.8 (Herstellerhinweis; CVE-Eintrag nennt bis 5.1.9)
- Eclipse Vert.x 5.2.0
Behoben in
- 4.5.35
- 5.1.10
- 5.2.1
- 5.0.x: Unbekannt. Der Hersteller nennt keine korrigierte Version; beim Hersteller nachfragen.
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Übergangsmassnahme (nicht vom Hersteller): die dekomprimierte Anfragegrösse an einem Reverse Proxy oder Gateway begrenzen oder einschränken, welche Clients den gRPC-Port erreichen können. Vor dem Einsatz testen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- VulDB meldet keinen bekannten Exploit; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept und keine Berichte über Angriffe in der Praxis gefunden.
- EPSS 0.00318 (tief).
Unsere Empfehlung
- Java-Abhängigkeiten (SBOM, Maven- oder Gradle-Dateien) auf io.vertx:vertx-grpc-server prüfen und die genaue Version erfassen.
- Auf 4.5.35, 5.1.10 bzw. 5.2.1 aktualisieren, sofern zutreffend.
- Bei 5.0.x die korrigierte Version vor einer Annahme beim Hersteller bestätigen.
- Ist ein gRPC-Endpunkt aus dem Internet erreichbar und kann nicht zeitnah gepatcht werden, die Übergangsmassnahme anwenden und auf ungewöhnlich grosse oder langsame Anfragen achten.
- Ist der Endpunkt nur intern erreichbar oder authentifiziert, das Patchen wie üblich priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4wvq-75mw-q6cg github.com
- Eclipse CVE assignment work item #349 gitlab.eclipse.org
- OSV: CVE-2026-102477 osv.dev
- Fix pull request #379 (vertx-grpc) github.com
- Mend vulnerability database: CVE-2026-102477 www.mend.io
- Tenable: CVE-2026-102477 www.tenable.com
- VulDB: CVE-2026-102477 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.