CVE-2026-92230— Apache Karaf ClassLoader引用未释放漏洞
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Karaf
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Apache Karaf 的 类在长期存活的容器线程中，将 XML 解析器和转换器工厂缓存于静态的 字段中。由于 中的值的生命周期超出了创建它的 OSGi Bundle 的生命周期，反复执行 Bundle 或 Feature 的安装、更新或刷新操作时，可能导致后续 Bundle 的 ClassLoader 被持续保留在内存中且无法被垃圾回收机制清理，从而引发 Metaspace 无限制增长，最终导致 Karaf 实例拒绝服务（DoS）。
可能的 ATT&CK 技术 1 AI
T1499 · Endpoint Denial of Service影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Apache Software Foundation | Apache Karaf | < 4.4.11 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-92230 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Karaf: Improper release of ClassLoader references via static ThreadLocal caching
来源: CVE Program / CVE List V5
Vulnerability Description
Apache Karaf's XmlUtils cached XML parser/transformer factories in static ThreadLocal fields on long-lived container threads. Because a ThreadLocal value outlives the OSGi bundle that created it, repeated bundle or feature install, update, or refresh operations can leave successive bundle ClassLoader's pinned in memory and unreachable for garbage collection, leading to unbounded Metaspace growth and eventual denial of service of the Karaf instance.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
在移除最后引用时对内存的释放不恰当(内存泄露)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Karaf | 0 ~ 4.4.11 | - |
|
二、漏洞 CVE-2026-92230 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-92230 的情报信息
请登录查看更多情报信息。
CVE-2026-92230 邮件列表归档 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-92230
暂无评论