Vert.x has a DoS via unbounded server-side SNI SslContext cache growth
Potential unbounded server-side SNI SslContext cache growth in Vert.x TLS handling, with = resource-exhaustion / DoS impact. On affected versions, matching server-side SNI names are cached via computeIfAbsent(serverName, ...) in a serverName-keyed SslContext cache.
The implementation differs slightly by branch, but the same sink appears to be present in released versions 4.3.4 through 5.0.11:
4.3.x:SSLHelper4.4.x/4.5.x:SslChannelProvider5.0.xand currentmaster:SslContextProvider
When server-side SNI is enabled and wildcard or otherwise broad hostname mappings are used, an unauthenticated client can send many distinct matching SNI names and cause the server to retain increasing numbers of SslContext entries over time, leading to increasing memory consumption and possible DoS conditions.
Steps to reproduce
- Configure a Vert.x server with
setSsl(true)andsetSni(true). - Use a keystore or mapping where many distinct SNI names match a wildcard or similarly broad rule.
- Send repeated connections with distinct matching SNI values.
- Observe that the SNI cache size grows with the number of unique matching names.
What are the affected versions?
Affected released versions confirmed on origin:
4.3.4through4.3.84.4.0through4.4.94.5.0through4.5.265.0.0through5.0.11
Not affected by the same sink:
4.0.xthrough4.2.x4.3.0through4.3.3
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | io.vertx:vertx-core | >= 4.3.4, <= 4.3.8, >= 4.4.0, <= 4.4.9, >= 4.5.0, < 4.5.27, >= 5.0.0, < 5.0.12 | 4.5.27, 5.0.12 |
Odnośniki
- https://github.com/eclipse-vertx/vert.x/security/advisories/GHSA-3g76-f9xq-8vp6
- https://nvd.nist.gov/vuln/detail/CVE-2026-6860
- https://github.com/eclipse-vertx/vert.x/pull/6102
- https://github.com/eclipse-vertx/vert.x
- https://github.com/vert-x3/wiki/wiki/4.5.27-Release-Notes
- https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/381
- https://vertx.io/blog/eclipse-vert-x-4-5-27
- https://vertx.io/blog/eclipse-vert-x-5-0-12
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Słabość (CWE)
CWE-295, CWE-770- Platforma
- Java / Kotlin (Maven)
- Paczka
io.vertx:vertx-core- Ujawniono
- 09.05.2026
- Aktualizacja
- 11.10.2026 13:20
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-3g76-f9xq-8vp6 - CC BY 4.0
Historia podatności: io.vertx:vertx-core
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 10.2018 05.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Średnia 7
Ujawnienia w latach
- 2018: 3
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 2
- 2025: 0
- 2026: 2
-
Vert.x has a DoS via unbounded server-side SNI SslContext cache growth ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.