CGI para Perl anteriores à 5.00: 20 CVEs de negação de serviço e confiança em cabeçalhos

O que aconteceu e o que fazer

O aviso do oss-sec, publicado por Stig Palmquist em 3 de novembro de 2026, lista 20 CVEs no módulo CGI para Perl em versões anteriores à 5.00. Entre os itens citados estão a negação de serviço por meio do valor de expiração do cookie, usado como expressão regular no CGI::Cookie a partir da 4.67, o esgotamento de CPU causado por uma expressão regular com retrocesso ao processar o Content-Type multipart/related de XForms, e a confiança no cabeçalho X-Forwarded-Host do cliente nos métodos url, self_url, virtual_host e virtual_port.

Para uma empresa que ainda executa aplicações Perl com CGI, o primeiro passo é levantar quais sistemas dependem dessas versões, inclusive dependências transitivas, e planejar a atualização para a 5.00 ou superior. Enquanto a atualização não ocorre, pode-se limitar o tamanho de cookies e de corpos multipart no proxy reverso, rejeitar cabeçalhos X-Forwarded-Host não confiáveis e monitorar picos de CPU e de tempo de resposta por rota. Essas medidas são de engenharia de rotina e não exigem IA.

Como a consultoria pode ajudar

Diagnóstico do parque de aplicações Perl e das dependências de CGI afetadas, com priorização por exposição pública. Em seguida, desenho e implementação de mitigações temporárias no proxy e de monitoramento de CPU e latência, com plano de atualização para versões corrigidas, executado na infraestrutura do cliente.

Próximo passo

Se a sua empresa mantém aplicações Perl com CGI, envie uma breve descrição do seu ambiente e dos sistemas expostos. Respondemos com uma proposta escopada de diagnóstico e de implementação.