CVE-2026-102469

Nome do Software Vulnerável e Versões Afetadas Eclipse Vert.x versões 4.0.0 até 4.5.34 Eclipse Vert.x versões 5.0.0 até 5.0.12 Eclipse Vert.x versões 5.1.0 até 5.1.9 Eclipse Vert.x versão 5.2.0

Description O componente vertx-db2-client contém código de manipulação do protocolo DRDA que desserializa dados de coluna do tipo User Defined Type (UDT) usando ObjectInputStream.readObject() sem um ObjectInputFilter ou lista de permissões de classes. Isso ocorre quando um servidor DRDA envia um conjunto de resultados com uma coluna marcada como UDT (FDOCA protocol LID 0x50). Embora servidores DB2 legítimos não utilizem este tipo, um servidor malicioso ou um ataque de man-in-the-middle pode enviar uma resposta manipulada para forçar o cliente a desserializar bytes arbitrários no loop de eventos do Vert.x. Isso pode levar à execução remota de código se uma cadeia de gadgets de desserialização Java estiver presente no classpath, ou a uma negação de serviço via grafos de objetos manipulados. O risco é ampliado pois o TLS vem desativado por padrão.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.