JDK 21 虚拟线程模型下 Web 应用会话上下文串扰漏洞的挖掘与利用

2026-07-13 1 阅读约1分钟阅读先知社区

字号:

本文揭示 JDK 21 虚拟线程（JEP 444）引入的一类隐蔽会话越权漏洞。JDK 21 的虚拟线程默认名称为空字符串，当业务代码在未显式命名的虚拟线程中读写以线程名为键的隔离表（多租户上下文、APM 链路追踪、自定义 MDC）时，所有虚拟线程会退化为共享同一条目，导致并发请求间发生身份串扰。

分享文章：

这篇文章对您有帮助吗？

每日精选科技资讯，直达你的邮箱