Eclipse Vert.x MySQL-Client: Speichererschöpfung durch unbegrenzte Paketzusammenführung
Zusammenfassung
Die MySQL-Client-Bibliothek vertx-mysql-client in Eclipse Vert.x kann dazu gebracht werden, vor Abschluss der Authentifizierung den Speicher zu erschöpfen. Ein böswilliger, kompromittierter oder als Man-in-the-Middle agierender MySQL-Server kann einen ununterbrochenen Strom von Paketen mit maximaler Nutzlastlänge senden. Dadurch wird unbegrenzt Direct Memory alloziert, was zu einem OutOfMemory-Absturz der Client-Anwendung führt. Der Angriff setzt voraus, dass die Anwendung mit einem solchen Server verbindet oder dass sich ein Angreifer in einer Man-in-the-Middle-Position auf dieser Verbindung befindet. Die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- Eclipse Vert.x 4.0.0 bis 4.5.34
- Eclipse Vert.x 5.0.0 bis 5.0.12
- Eclipse Vert.x 5.1.0 bis 5.1.9
- Eclipse Vert.x 5.2.0
Paket: io.vertx:vertx-mysql-client. Der Herstellerhinweis listet die Bereiche leicht abweichend auf (>=5.0.0 bis <=5.1.8, 5.2.0 und <=4.5.34).
Behoben in
- 4.5.35
- 5.1.10
- 5.2.1
- 5.0.x: Unbekannt. Der Herstellerhinweis nennt kein korrigiertes 5.0.x-Release.
Umgehung
Unbekannt. Der Herstellerhinweis nennt keine Workaround-Massnahme. Bis zur Behebung den Netzwerkzugriff auf die Datenbank einschränken, TLS mit Prüfung des Serverzertifikats verwenden und Speicherlimits für Container und Java-Prozesse setzen. Diese Massnahmen sind allgemeine Empfehlungen und keine Herstellerangaben.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept bekannt. VulDB führt keinen verfügbaren Exploit.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Anwendungen identifizieren, die io.vertx:vertx-mysql-client verwenden, einschliesslich mitgelieferter Downstream-Produkte, anhand der Java-SBOM.
- Aktualisierung auf 4.5.35, 5.1.10 oder 5.2.1, soweit zutreffend.
- Für 5.0.x den Fix-Status vor der Planung mit dem Vert.x-Projekt klären.
- Datenbankverbindungen mit TLS und Zertifikatsprüfung absichern und den Netzwerkzugriff auf die Datenbank einschränken.
- Speicherlimits setzen und auf OutOfMemory-Fehler überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-75hv-9xj3-3cr8 github.com
- Eclipse CVE work item #353 gitlab.eclipse.org
- Fix pull request #1734 (vertx-sql-client) github.com
- NVD record via Vulners vulners.com
- VulDB entry 420548 vuldb.com
- OpenCVE CVE-2026-103224 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.