CVE-2026-102469

Eclipse Vert.x versiyaları [4.0.0, 4.5.34] və ya [5.0.0, 5.0.12] və ya [5.1.0, 5.1.9] və ya [5.2.0, 5.2.0]-da Vert.x DB2 kliyenti (vertx-db2-client), hər hansı bir ObjectInputFilter və ya klas icazə siyahısı olmadan, sadə ObjectInputStream.readObject() çağırışından istifadə edərək İstifadəçi Tərəfindən Təyin Edilmiş Tip (User Defined Type - UDT) sütun məlumatlarını deserializasiya edən DRDA protokolu idarəetmə kodu ehtiva edir. Bu kod yolu, DRDA serveri tərəfindən UDT olaraq işarələnmiş sütuna malik nəticə dəsti (FDOCA protokolu LID 0x50) göndərildikdə tetiklənir. Lakin DB2 bu növ UDT-ni dəstəkləmir. FDOCA 0x50 tipi legitim DB2 serveri tərəfindən heç vaxt göndərilmir. Buna baxmayaraq, zərərli və ya "man-in-the-middle" (ortadakı adam) hücumuna məruz qalmış DRDA serveri 0x50 ilə işarələnmiş sütunu olan cavab hazırlaya bilər ki, bu da hər hansı tətbiq kodu məlumatları yoxlamazdan və ya rədd etməzdən əvvəl, kliyentin Vert.x hadisə dövründə (event loop) hücumçu tərəfindən idarə olunan ixtiyari baytları deserializasiya etməsinə səbəb olar. Əgər tətbiqin classpath-ində Java deserializasiya gadget zənciri mövcuddursa, bu, uzaqdan kodun icrasına imkan verir. Gadget zənciri olmadıqda isə, hazırlanmış obyekt qrafikləri vasitəsilə xidmətdən imtina (DoS) mümkündür. TLS standart olaraq söndürüldüyü üçün "man-in-the-middle" istismarı realdır. Təsirə məruz qalan komponent io.vertx:vertx-db2-client-dir.