CVE-2026-102476
KrytyczneCVSS 9.1Streszczenie
W Eclipse Vert.x w wersjach [5.0.0,5.0.12], [5.1.0,5.1.9] oraz [5.2.0, 5.2.0] klient HTTP Vert.x korzysta z pamięci podręcznej kontekstu SSL, której klucz nie odzwierciedla w pełni semantyki właściwości SSL. Klient może otrzymać kontekst SSL o słabszych właściwościach, na przykład kontekst ignorujący walidację nazwy hosta zamiast kontekstu z walidacją. Dotyczy komponentu io.vertx:vertx-core.
Ocena ryzyka
Aplikacja może nieumyślnie użyć kontekstu SSL bez walidacji nazwy hosta, co umożliwia ataki man-in-the-middle i przechwycenie danych.
Rekomendacja
Zaktualizuj bibliotekę io.vertx:vertx-core do wersji zawierającej poprawkę klucza pamięci podręcznej kontekstu SSL.
Inne podatności w Eclipse Vert.x
Zobacz wszystkie- CVE-2026-15075Wysokie
W Eclipse Vert.x do wersji 4.5.29 (4.x) i 5.1.4 (5.x) komponent DefaultRedirectHandler (vertx-core) przekazuje wszystkie nagłówki żądania, w tym uwierzytelniające (Authorization, Cookie, Proxy-Authorization) oraz niestandardowe (np. X-API-Token), podczas przekierowań HTTP 30x między różnymi źródłami. Brak weryfikacji pochodzenia (schemat, host, port) przed skopiowaniem nagłówków do celu przekierowania.
- CVE-2025-11966Średnie
W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] oraz [5.0.0, 5.0.4], gdy włączone jest wyświetlanie listy katalogów, nazwy plików i katalogów są wstawiane do generowanego HTML bez odpowiedniego escapowania w atrybutach href, title i link. Atakujący mogący tworzyć lub zmieniać nazwy plików w udostępnianym katalogu może wywołać przechowywany XSS.
- CVE-2025-11965Wysokie
W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] i [5.0.0, 5.0.4], konfiguracja StaticHandler mająca ograniczać dostęp do ukrytych plików nie ogranicza dostępu do ukrytych katalogów, co pozwala nieautoryzowanym użytkownikom na pobieranie plików z tych katalogów (np. '.git/config').
- CVE-2024-1300Średnie
W Eclipse Vert.x wykryto podatność powodującą wyciek pamięci w serwerach TCP skonfigurowanych z TLS i obsługą SNI. Podczas przetwarzania nieznanej nazwy serwera SNI, której przypisano domyślny certyfikat zamiast mapowanego, kontekst SSL jest błędnie buforowany w mapie nazw serwerów, co prowadzi do wyczerpania pamięci. Atakujący może wysyłać wiadomości TLS client hello z fałszywymi nazwami serwerów, wywołując błąd braku pamięci w JVM.
- CVE-2024-1023Średnie
Podatność w Eclipse Vert.x powoduje wyciek pamięci z powodu użycia struktur danych Netty FastThreadLocal. Wyciek występuje, gdy klient HTTP Vert.x nawiązuje połączenia z różnymi hostami, a może być przyspieszony przez atakującego z dogłębną znajomością środowiska wykonawczego. Serwer akceptujący dowolne adresy internetowe może służyć jako wektor ataku, przyspieszając wyciek pamięci.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Vert.x versions [5.0.0,5.0.12] or [5.1.0,5.1.9] or [5.2.0, 5.2.0], the Vert.x HTTP client relies on an SSL context for efficiency purpose, the key of this cache should reflect entirely the SSL semantics of the desired SSL properties. It is possible for a client to ask for an SSL context and obtain an SSL context with weaker properties, for instance a context with hostname validation and obtain a context ignoring hostname validation. The impacted component is io.vertx:vertx-core.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS