Eclipse Vert.x: Request Smuggling über kanonisierte HTTP/1.x-Header
Zusammenfassung
Eclipse Vert.x, die Bibliothek vertx-core für die Verarbeitung von HTTP/1.x, interpretiert durch einen Kanonisierungsschritt manipulierte Header-Namen falsch. So kann beispielsweise Content-Xength als Content-Length gelesen werden. Ein entfernter Angreifer kann dies für Request Smuggling nutzen, was zu Integritätsschäden wie manipulierten Anfragen oder Antworten führen kann. Es ist keine Benutzerinteraktion und keine Authentifizierung nötig, der Angriff setzt jedoch eine Umgebung voraus, in der ein Front-End-Proxy und das Vert.x-Backend Header unterschiedlich parsen. Der CVSS-v4.0-Basiswert beträgt 8.7 (hoch).
Betroffen
- Eclipse Vert.x 5.0.0 bis 5.0.12
- Eclipse Vert.x 5.1.0 bis 5.1.9 (GitHub-Advisory nennt 5.1.0 bis 5.1.8)
- Eclipse Vert.x 5.2.0 (gemäss CNA-Eintrag; GitHub-Advisory nennt 5.2.0 als betroffen)
- Komponente: io.vertx:vertx-core
Behoben in
- Eclipse Vert.x 5.1.10 (gemäss GitHub-Advisory)
- Eclipse Vert.x 5.2.1 (gemäss GitHub-Advisory)
- Behobene Version für die Linie 5.0.x: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- Nicht im Katalog KEV der CISA aufgeführt (gemäss OpenCVE)
- EPSS-Wert 0.00274 (gemäss Vulners)
- JFrog hat eine technische Analyse zu Desynchronisation und Session Fixation hinter Reverse Proxies veröffentlicht
- Öffentlicher Proof-of-Concept-Code: Unbekannt.
Unsere Empfehlung
- Prüfen Sie, ob Eclipse Vert.x in den Versionen 5.0.0 bis 5.0.12, 5.1.x oder 5.2.0 eingesetzt wird, auch als transitive Abhängigkeit von io.vertx:vertx-core.
- Aktualisieren Sie auf 5.1.10 oder 5.2.1 oder neuer. Für die Linie 5.0.x prüfen Sie das Advisory des Herstellers auf eine behobene Version.
- Stellen Sie bis zur Aktualisierung sicher, dass der Vert.x-Dienst nur über den Front-End-Proxy erreichbar ist und dass Proxy und Backend Framing-Header konsistent parsen.
- Überwachen Sie auf Anzeichen von Request Smuggling, etwa unerwartete Antworten oder Antworten, die für andere Benutzer bestimmt sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-ch7p-g5pm-3gqx github.com
- Eclipse Foundation CVE assignment work item #352 gitlab.eclipse.org
- oss-security mailing list post www.openwall.com
- JFrog research: header typo session fixation research.jfrog.com
- OpenCVE CVE-2026-102479 app.opencve.io
- Vulners CVE-2026-102479 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.