CVE-2026-115865

Starlet versions before 0.33 for Perl allow a request declaring a large Content-Length to kill a worker by exhausting memory

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.33

Обновите модуль Starlet до версии 0.33 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Неконтролируемое выделение памяти при обработке заголовка Content-Length в сервере Starlet приводит к аварийному завершению воркеров по OOM.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Цикл чтения тела запроса запрашивает через sysread весь объявленный в Content-Length объем данных за одну операцию. Интерпретатор Perl превентивно расширяет внутренний буфер чтения до указанного размера до получения байтов из сокета. Значение заголовка, превышающее доступную RAM, вызывает фатальную ошибку out of memory.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Отказ в обслуживании (DoS). Удаленный атакующий может принудительно ронять и перезапускать рабочие процессы Starlet единичными компактными запросами размером в несколько байт, исчерпывая память хоста.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 0➔Fix: 0.33

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-115865: Starlet versions before 0.33 for Perl allow a request declaring a large Content-Length to kill a worker by exhausting memory. URL: https://cve.futuretools.ru/cve/CVE-2026-115865

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_115865,
  title = {{CVE-2026-115865: Starlet versions before 0.33 for Perl allow a request declaring a large Content-Length to kill a worker by exhausting memory}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115865}},
  note = {Оперативный инженерный анализ киберугроз}
}