Eclipse Vert.x: Unbegrenzte Speicherallozierung im PostgreSQL-Client
Zusammenfassung
Der PostgreSQL-Nachrichtendecoder in der Vert.x-Bibliothek vertx-pg-client prüft das Längenfeld von Nachrichten des Datenbankservers nicht. Ein böswilliger, kompromittierter oder als Man-in-the-Middle agierender PostgreSQL-Server kann einen manipulierten Längenwert senden, wodurch der Client eingehende Daten unbegrenzt puffert, bis der Speicher erschöpft ist und der Prozess abstürzt. Der Angriff erfolgt vor Abschluss der Authentifizierung, es sind also keine Zugangsdaten nötig, der Angreifer muss aber der Datenbankserver sein oder sich im Netzwerkpfad zu diesem befinden. Betroffen ist nur die Verfügbarkeit; Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12 (gemäss CVE-Eintrag; das GHSA-Advisory nennt nur 5.0.0 bis 5.1.8)
- Eclipse Vert.x 5.1.0 bis 5.1.9 (gemäss CVE-Eintrag; das GHSA-Advisory nennt bis 5.1.8)
- Eclipse Vert.x 5.2.0
Behoben in
- 4.5.35
- 5.1.10
- 5.2.1
- 5.0.x: Unbekannt. Im Advisory ist keine Korrektur bestätigt; Bestätigung bei Eclipse einholen.
Umgehung
- Über das Advisory hinaus ist kein Workaround des Herstellers bekannt.
- TLS mit Verifizierung des Serverzertifikats für PostgreSQL-Verbindungen erzwingen.
- Erreichbarkeit der Datenbank-Hosts für Anwendungen einschränken und den Datenbankverkehr im internen Netzwerk isolieren.
Ausnutzung
- Kein öffentlicher Exploit bekannt (VulDB).
- Nicht als KEV gelistet (Strix).
- EPSS 0.00321 (Positive Technologies).
- CISA SSVC: Exploitation none, Automatisierbarkeit no, technische Auswirkung partial.
Unsere Empfehlung
- Java-Projekte, Container und Quarkus-basierte Anwendungen auf vertx-pg-client prüfen, einschliesslich transitiver Abhängigkeiten.
- Je nach eingesetzter Version auf 4.5.35, 5.1.10 oder 5.2.1 aktualisieren.
- Bei Installationen von 5.0.x den Korrekturstand bei Eclipse bestätigen, bevor man sich auf einen Patch verlässt.
- Bis zur Korrektur TLS mit Zertifikatsprüfung erzwingen und die Erreichbarkeit der Datenbank einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GHSA advisory (Eclipse Vert.x) github.com
- Eclipse CVE work item #354 gitlab.eclipse.org
- VulDB CVE entry vuldb.com
- Strix CVE entry www.strix.ai
- Positive Technologies via Vulners vulners.com
- OpenCVE record app.opencve.io
- Dependency bump evidence (hibernate-reactive PR 646) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.