In Eclipse Vert.x versions [4.0.0, 4.5.34] or [5.0.0,5.0.12] or [5.1.0,5.1.9] or [5.2.0, 5.2.0], the Vert.x DB2 client (vertx-db2-client) contains DRDA protocol handling code that deserializes User Defined Type (UDT) column data using a bare ObjectInputStream.readObject() call with no ObjectInputFilter or class allowlist. This code path is triggered when a DRDA server sends a result set with a column tagged as UDT (FDOCA protocol LID 0x50). However, DB2 does not support this type of UDT. The FDOCA 0x50 type is never sent by a legitimate DB2 server. Nevertheless, a malicious or man-in-the-middle DRDA server could craft a response with a 0x50-tagged column, causing the client to deserialize arbitrary attacker-controlled bytes on the Vert.x event loop before any application code can inspect or reject the data. If a Java deserialization gadget chain is present on the application's classpath, this enables remote code execution. Without a gadget chain, denial of service is possible via crafted object graphs. TLS is disabled by default, making man-in-the-middle exploitation feasible. The impacted component is io.vertx:vertx-db2-client.

• https://github.com/eclipse-vertx/vertx-sql-client/security/advisories/GHSA-j4vf-w939-pgxf
• https://gitlab.eclipse.org/security/cve-assignment/-/work_items/347

• Eclipse » Vert.x » Version: 4.5.0
  cpe:2.3:a:eclipse:vert.x:4.5.0
• Eclipse » Vert.x » Version: 4.5.1
  cpe:2.3:a:eclipse:vert.x:4.5.1
• Eclipse » Vert.x » Version: 4.5.10
  cpe:2.3:a:eclipse:vert.x:4.5.10
• Eclipse » Vert.x » Version: 4.5.11
  cpe:2.3:a:eclipse:vert.x:4.5.11
• Eclipse » Vert.x » Version: 4.5.12
  cpe:2.3:a:eclipse:vert.x:4.5.12
• Eclipse » Vert.x » Version: 4.5.13
  cpe:2.3:a:eclipse:vert.x:4.5.13
• Eclipse » Vert.x » Version: 4.5.14
  cpe:2.3:a:eclipse:vert.x:4.5.14
• Eclipse » Vert.x » Version: 4.5.15
  cpe:2.3:a:eclipse:vert.x:4.5.15
• Eclipse » Vert.x » Version: 4.5.16
  cpe:2.3:a:eclipse:vert.x:4.5.16
• Eclipse » Vert.x » Version: 4.5.17
  cpe:2.3:a:eclipse:vert.x:4.5.17
• Eclipse » Vert.x » Version: 4.5.18
  cpe:2.3:a:eclipse:vert.x:4.5.18
• Eclipse » Vert.x » Version: 4.5.19
  cpe:2.3:a:eclipse:vert.x:4.5.19
• Eclipse » Vert.x » Version: 4.5.2
  cpe:2.3:a:eclipse:vert.x:4.5.2
• Eclipse » Vert.x » Version: 4.5.20
  cpe:2.3:a:eclipse:vert.x:4.5.20
• Eclipse » Vert.x » Version: 4.5.21
  cpe:2.3:a:eclipse:vert.x:4.5.21
• Eclipse » Vert.x » Version: 4.5.22
  cpe:2.3:a:eclipse:vert.x:4.5.22
• Eclipse » Vert.x » Version: 4.5.23
  cpe:2.3:a:eclipse:vert.x:4.5.23
• Eclipse » Vert.x » Version: 4.5.24
  cpe:2.3:a:eclipse:vert.x:4.5.24
• Eclipse » Vert.x » Version: 4.5.25
  cpe:2.3:a:eclipse:vert.x:4.5.25
• Eclipse » Vert.x » Version: 4.5.26
  cpe:2.3:a:eclipse:vert.x:4.5.26
• Eclipse » Vert.x » Version: 4.5.27
  cpe:2.3:a:eclipse:vert.x:4.5.27
• Eclipse » Vert.x » Version: 4.5.28
  cpe:2.3:a:eclipse:vert.x:4.5.28
• Eclipse » Vert.x » Version: 4.5.29
  cpe:2.3:a:eclipse:vert.x:4.5.29
• Eclipse » Vert.x » Version: 4.5.3
  cpe:2.3:a:eclipse:vert.x:4.5.3
• Eclipse » Vert.x » Version: 4.5.30
  cpe:2.3:a:eclipse:vert.x:4.5.30
• Eclipse » Vert.x » Version: 4.5.31
  cpe:2.3:a:eclipse:vert.x:4.5.31
• Eclipse » Vert.x » Version: 4.5.32
  cpe:2.3:a:eclipse:vert.x:4.5.32
• Eclipse » Vert.x » Version: 4.5.33
  cpe:2.3:a:eclipse:vert.x:4.5.33
• Eclipse » Vert.x » Version: 4.5.34
  cpe:2.3:a:eclipse:vert.x:4.5.34
• Eclipse » Vert.x » Version: 4.5.4
  cpe:2.3:a:eclipse:vert.x:4.5.4
• Eclipse » Vert.x » Version: 4.5.5
  cpe:2.3:a:eclipse:vert.x:4.5.5
• Eclipse » Vert.x » Version: 4.5.6
  cpe:2.3:a:eclipse:vert.x:4.5.6
• Eclipse » Vert.x » Version: 4.5.7
  cpe:2.3:a:eclipse:vert.x:4.5.7
• Eclipse » Vert.x » Version: 4.5.8
  cpe:2.3:a:eclipse:vert.x:4.5.8
• Eclipse » Vert.x » Version: 4.5.9
  cpe:2.3:a:eclipse:vert.x:4.5.9
• Eclipse » Vert.x » Version: 5.0.0
  cpe:2.3:a:eclipse:vert.x:5.0.0
• Eclipse » Vert.x » Version: 5.0.1
  cpe:2.3:a:eclipse:vert.x:5.0.1
• Eclipse » Vert.x » Version: 5.0.10
  cpe:2.3:a:eclipse:vert.x:5.0.10
• Eclipse » Vert.x » Version: 5.0.11
  cpe:2.3:a:eclipse:vert.x:5.0.11
• Eclipse » Vert.x » Version: 5.0.12
  cpe:2.3:a:eclipse:vert.x:5.0.12
• Eclipse » Vert.x » Version: 5.0.2
  cpe:2.3:a:eclipse:vert.x:5.0.2
• Eclipse » Vert.x » Version: 5.0.3
  cpe:2.3:a:eclipse:vert.x:5.0.3
• Eclipse » Vert.x » Version: 5.0.4
  cpe:2.3:a:eclipse:vert.x:5.0.4
• Eclipse » Vert.x » Version: 5.0.5
  cpe:2.3:a:eclipse:vert.x:5.0.5
• Eclipse » Vert.x » Version: 5.0.6
  cpe:2.3:a:eclipse:vert.x:5.0.6
• Eclipse » Vert.x » Version: 5.0.7
  cpe:2.3:a:eclipse:vert.x:5.0.7
• Eclipse » Vert.x » Version: 5.0.8
  cpe:2.3:a:eclipse:vert.x:5.0.8
• Eclipse » Vert.x » Version: 5.0.9
  cpe:2.3:a:eclipse:vert.x:5.0.9
• Eclipse » Vert.x » Version: 5.1.0
  cpe:2.3:a:eclipse:vert.x:5.1.0
• Eclipse » Vert.x » Version: 5.1.1
  cpe:2.3:a:eclipse:vert.x:5.1.1
• Eclipse » Vert.x » Version: 5.1.2
  cpe:2.3:a:eclipse:vert.x:5.1.2
• Eclipse » Vert.x » Version: 5.1.3
  cpe:2.3:a:eclipse:vert.x:5.1.3
• Eclipse » Vert.x » Version: 5.1.4
  cpe:2.3:a:eclipse:vert.x:5.1.4
• Eclipse » Vert.x » Version: 5.1.5
  cpe:2.3:a:eclipse:vert.x:5.1.5
• Eclipse » Vert.x » Version: 5.1.8
  cpe:2.3:a:eclipse:vert.x:5.1.8
• Eclipse » Vert.x » Version: 5.1.9
  cpe:2.3:a:eclipse:vert.x:5.1.9
• Eclipse » Vert.x » Version: 5.2.0
  cpe:2.3:a:eclipse:vert.x:5.2.0