Starman para Perl anterior à 0.4019: quatro CVEs de negação de serviço e dessincronização

O que aconteceu e o que fazer

O aviso foi publicado na lista oss-sec em 25 de outubro por Robert Rothenberg e trata de falhas no Starman, servidor web para aplicações Perl, em versões anteriores à 0.4019. Três dos quatro CVEs citados são detalhados no texto: o CVE-2026-115817 permite que um corpo de solicitação parado mantenha um worker ocupado indefinidamente, porque o read_timeout cobre apenas os cabeçalhos; o CVE-2026-115822 permite esgotamento de CPU por retrocesso quadrático de regex ao analisar corpos de solicitações fragmentadas; e o CVE-2026-115823 faz com que respostas a solicitações HEAD incluam corpos, dessincronizando a comunicação entre cliente e servidor.

Para uma empresa que expõe aplicações Perl atrás do Starman, o caminho imediato é inventariar quais serviços usam essa versão, atualizar para a 0.4019 ou posterior e verificar o comportamento em ambiente de homologação. Em paralelo, vale monitorar contagem de workers ocupados, uso de CPU e taxa de erros por timeout, com alertas que mostrem um padrão de exaustão antes que ele derrube o serviço. Também cabe revisar se um proxy reverso na frente do Starman impõe limites de tamanho e de tempo para corpos de requisição, reduzindo a exposição enquanto a atualização não chega a todos os ambientes.

Como a consultoria pode ajudar

Diagnóstico da exposição: levantamento dos serviços Perl que usam Starman, das versões em produção e dos pontos de entrada expostos. Em seguida, plano de atualização escalonado com testes de regressão e monitoramento de workers, CPU e erros de timeout, implementado na infraestrutura do próprio cliente.

Próximo passo

Se a sua empresa roda aplicações Perl com Starman, envie uma breve descrição do ambiente (versões, onde o serviço está hospedado e se há proxy na frente) e receba uma proposta de escopo para diagnóstico e correção.