Podatności Eclipse Vert.x
3 znanych podatności CVE w Eclipse Vert.x, przetłumaczonych i ocenionych.
- CVE-2026-15075Wysokie
W Eclipse Vert.x do wersji 4.5.29 (4.x) i 5.1.4 (5.x) komponent DefaultRedirectHandler (vertx-core) przekazuje wszystkie nagłówki żądania, w tym uwierzytelniające (Authorization, Cookie, Proxy-Authorization) oraz niestandardowe (np. X-API-Token), podczas przekierowań HTTP 30x między różnymi źródłami. Brak weryfikacji pochodzenia (schemat, host, port) przed skopiowaniem nagłówków do celu przekierowania.
- CVE-2024-1300Średnie
W Eclipse Vert.x wykryto podatność powodującą wyciek pamięci w serwerach TCP skonfigurowanych z TLS i obsługą SNI. Podczas przetwarzania nieznanej nazwy serwera SNI, której przypisano domyślny certyfikat zamiast mapowanego, kontekst SSL jest błędnie buforowany w mapie nazw serwerów, co prowadzi do wyczerpania pamięci. Atakujący może wysyłać wiadomości TLS client hello z fałszywymi nazwami serwerów, wywołując błąd braku pamięci w JVM.
- CVE-2024-1023Średnie
Podatność w Eclipse Vert.x powoduje wyciek pamięci z powodu użycia struktur danych Netty FastThreadLocal. Wyciek występuje, gdy klient HTTP Vert.x nawiązuje połączenia z różnymi hostami, a może być przyspieszony przez atakującego z dogłębną znajomością środowiska wykonawczego. Serwer akceptujący dowolne adresy internetowe może służyć jako wektor ataku, przyspieszając wyciek pamięci.