CVE-2026-102464 Denegación de servicio en Eclipse Vert.x MQTT por retención ilimitada de mensajes QoS 2 entrantes

Qué es CVE-2026-102464

En Eclipse Vert.x, el MqttClient de vertx-mqtt almacena cada mensaje PUBLISH QoS 2 entrante en un mapa interno (qos2inbound) sin límite de tamaño mientras espera el PUBREL correspondiente. Un broker MQTT malicioso o comprometido puede enviar mensajes QoS 2 con identificadores distintos y omitir los PUBREL, provocando crecimiento ilimitado de memoria y posible agotamiento de memoria en el proceso Vert.x. Afecta a las versiones [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] y 5.2.0.

Productos y versiones afectadas

• Eclipse Foundation Eclipse Vert.x

  • desde 4.0.0 hasta 4.5.34
  • desde 5.0.0 hasta 5.0.12
  • desde 5.1.0 hasta 5.1.9
  • 5.2.0

Qué hacer

1. Verificá si usás Eclipse Vert.x y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

In Eclipse Vert.x versions [4.0.0, 4.5.34] or [5.0.0,5.0.12] or [5.1.0,5.1.9] or [5.2.0, 5.2.0], the Eclipse Vert.x MQTT (vertx-mqtt) MqttClient stores every inbound QoS 2 PUBLISH message received from the broker in an internal map (qos2inbound) while awaiting the corresponding PUBREL packet to complete the QoS 2 handshake. This map has no size limit; the maxInflightQueue option is enforced only on the outbound publish path and does not constrain inbound message retention. A malicious or compromised MQTT broker can exploit this by sending QoS 2 PUBLISH messages with distinct packet identifiers and withholding the PUBREL responses. Each incomplete handshake causes the client to retain the full publish message (topic, payload, and metadata) indefinitely, leading to unbounded memory growth in the Vert.x process. This can degrade the MQTT-consuming application or cause out-of-memory termination. The impacted component is io.vertx:vertx-mqtt.

Referencias

• github.com/vert-x3/vertx-mqtt/security/advisories/GHSA-46xj-5735-6qrp
• gitlab.eclipse.org/security/cve-assignment/-/work_items/344

Historial de la alerta

1. 15 OCT · 07:26VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.