Thomas Segismont

In Eclipse Vert.x versions [4.0.0, 4.5.34] or [5.0.0,5.0.12] or [5.1.0,5.1.9] or [5.2.0, 5.2.0], the PostgreSQL message decoder reads the 4-byte message length field from the PostgreSQL wire protocol without any maximum validation. A malicious, compromised, or man-in-the-middle PostgreSQL server can send a message header with the length field set to an extremely large value (up to Integer.MAX VALUE), causing the decoder to accumulate subsequent TCP data into a composite buffer without bound, leading to unbounded memory allocation on the client and an out-of-memory crash. This occurs before authentication completes. The impacted component is io.vertx:vertx-pg-client.

In Eclipse Vert.x versions [4.0.0, 4.5.34] or [5.0.0,5.0.12] or [5.1.0,5.1.9] or [5.2.0, 5.2.0], the MySQL message decoder aggregates inbound multi-packet payloads into a composite direct-memory buffer without any cumulative size limit. A malicious, compromised, or man-in-the-middle MySQL server can send a continuous stream of packets with the maximum payload length (0xFFFFFF), preventing the end-of-message condition from being reached, causing unbounded direct-memory allocation on the client and leading to an out-of-memory crash. This occurs before authentication completes. The impacted component is io.vertx:vertx-mysql-client.

**Nome do Software Vulnerável e Versões Afetadas** Eclipse Vert.x versões 4.0.0 até 4.5.34 Eclipse Vert.x versões 5.0.0 até 5.0.12 Eclipse Vert.x versões 5.1.0 até 5.1.9 Eclipse Vert.x versão 5.2.0 **Description** Existe uma falha de bypass de escopo no `ChainAuthHandler` do Eclipse Vert.x Web quando utilizado com manipuladores de autenticação que exigem escopos, como `JWTAuthHandler` ou `OAuth2AuthHandler`. Se um usuário já estiver autenticado por um manipulador anterior no pipeline de requisição, o `ChainAuthHandler` ignora toda a validação de escopo configurada via `withScope()` ou `withScopes()`, afetando os modos de cadeia `any()` e `all()`. Isso ocorre porque a função `postAuthentication()` depende de um estado interno definido durante a fase `authenticate()`, que é totalmente ignorada para usuários pré-autenticados. Consequentemente, um usuário com um token válido, mas com escopos insuficientes, pode acessar recursos protegidos, especialmente em cenários com manipuladores de autenticação sobrepostos em rotas aninhadas. **Recommendations** Atualize as versões do Eclipse Vert.x 4.0.0 até 4.5.34 para uma versão posterior à 4.5.34. Atualize as versões do Eclipse Vert.x 5.0.0 até 5.0.12 para uma versão posterior à 5.0.12. Atualize as versões do Eclipse Vert.x 5.1.0 até 5.1.9 para uma versão posterior à 5.1.9. Atualize a versão do Eclipse Vert.x 5.2.0 para uma versão posterior à 5.2.0.