CVE-2026-33012Micronaut Framework 4.7.0至4.10.16版本中存在拒绝服务漏洞。该漏洞源于`DefaultHtmlErrorResponseBodyProvider`组件使用了无界且无驱逐策略的`ConcurrentHashMap`缓存。远程攻击者可利用受控的异常消息(如通过请求参数)触发缓存机制,导致无界堆内存增长,最终引发`OutOfMemoryError`,从而造成服务拒绝。
该漏洞位于Micronaut的错误响应处理逻辑中。`DefaultHtmlErrorResponseBodyProvider`使用`ConcurrentHashMap`来缓存错误响应体以提高性能,但未配置缓存大小限制或过期策略。攻击者可以通过发送包含不断变化的、长字符串(例如随机生成的查询参数)的HTTP请求来触发应用程序异常。由于异常消息中包含这些用户输入的字符串,系统会将它们作为键存入缓存。随着攻击持续,大量唯一的键被添加到无界缓存中,导致JVM堆内存迅速耗尽,最终触发`OutOfMemoryError`,使应用程序崩溃并无法提供服务。