CVE-2026-115822
Publiée le 2026-10-25 · Dernière modification le 2026-11-02
Les versions de Starman antérieures à 0.4019 constituent un serveur web basé sur Perl utilisé pour gérer les requêtes HTTP entrantes. La faille réside dans la manière dont le serveur analyse les corps de requêtes « chunked » (segmentés) en utilisant une expression régulière pour identifier la taille des segments. Comme l'expression régulière traite certaines lignes malformées de manière inefficace, elle déclenche un processus appelé « quadratic backtracking » (retour sur trace quadratique), ce qui force le processeur à travailler de manière exponentielle à mesure que la longueur de l'entrée augmente.
Un attaquant peut paralyser la disponibilité de votre serveur en envoyant des requêtes spécifiquement conçues pour épuiser toutes les ressources CPU disponibles, gelant ainsi les processus de travail. Il s'agit d'une attaque à distance qui ne nécessite ni authentification ni interaction de l'utilisateur, ce qui signifie que toute personne ayant un accès réseau à votre serveur peut la déclencher. La confidentialité et l'intégrité restent intactes, car la faille n'impacte que la stabilité du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Starman versions before 0.4019 for Perl allow CPU exhaustion via quadratic regex backtracking when parsing chunked request bodies. Starman decodes chunked request bodies before calling the application, matching each chunk-size line with `s/^(([0-9a-fA-F]+).*\015\012)//`. A line of hex digits followed by a bare LF and then CRLF never matches, because `.` does not match LF, and each failed attempt backtracks in time quadratic in the length of the hex run. Nothing limits the length of the line. A remote attacker can exhaust worker CPU by sending such requests to any route.