CVE-2026-115817
NieznaneStreszczenie
Starman w wersjach przed 0.4019 dla Perla pozwala zatrzymanemu ciału żądania blokować workera bezterminowo, ponieważ read_timeout obejmuje tylko nagłówki. Ciała żądań są czytane blokująco bez terminu. Atakujący może zająć wszystkie workery kilkoma połączeniami.
Ocena ryzyka
Zdalny atakujący może wyczerpać pulę workerów i zatrzymać odpowiadanie serwera. Przy domyślnej liczbie pięciu workerów wystarczy kilka połączeń.
Rekomendacja
Zaktualizuj Starman do wersji 0.4019 lub nowszej, która stosuje read_timeout do odczytu ciała i dodaje body_timeout. Rozważ zwiększenie liczby workerów jako środek tymczasowy.
Inne podatności w Starman
Zobacz wszystkie- CVE-2026-115824Nieznane
Starman w wersjach przed 0.4019 dla Perla pozwala na wyczerpanie pamięci przez nieograniczone buforowanie ciał żądań w trybie chunked. Dekoder nie ogranicza długości linii rozmiaru chunka ani rozmiaru bufora. Zdalny atakujący może wyczerpać pamięć workera pojedynczym połączeniem.
- CVE-2026-115823Nieznane
Starman w wersjach przed 0.4019 dla Perla wysyła ciało odpowiedzi dla żądań HEAD, co desynchronizuje odpowiedzi na połączeniach keep-alive. Ciało jest wysyłane także dla statusów 1xx, 204 i 304. Klient lub proxy może odczytać te bajty jako początek kolejnej odpowiedzi.
- CVE-2026-115822Nieznane
Starman w wersjach przed 0.4019 dla Perla pozwala na wyczerpanie CPU przez kwadratowe cofanie w wyrażeniu regularnym podczas parsowania ciał żądań chunked. Linia z cyframi szesnastkowymi zakończona samym LF i CRLF nigdy nie pasuje, a każda próba cofa się kwadratowo. Długość linii nie jest ograniczona.
- CVE-2026-40560Wysokie
Starman dla Perla przed wersją 0.4018 jest podatny na przemycanie żądań HTTP z powodu nieprawidłowego priorytetowania nagłówków. Starman błędnie nadaje priorytet nagłówkowi Content-Length nad Transfer-Encoding: chunked, co jest niezgodne z RFC 7230. Atakujący może wykorzystać tę podatność do przemycania złośliwych żądań HTTP przez pośredniczący reverse proxy.
Oryginalny opis (angielski, źródło NVD)
Starman versions before 0.4019 for Perl allow a stalled request body to hold a worker indefinitely, as read_timeout covers only the headers. Content-Length and chunked request bodies are read with blocking reads and no deadline. A client that sends complete headers and then stalls or trickles the body keeps the worker waiting until it disconnects. A remote attacker can take every worker with a few such connections, five with the default worker count, so the server stops answering requests. Version 0.4019 applies read_timeout to each wait for body data and adds a body_timeout limit, 300 seconds by default, on the total time to read a body.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS