CVE-2026-8450: HTTP::Daemon para Perl: injeção de comandos do sistema via send_file()

Visão geral

O HTTP::Daemon, módulo Perl usado para construir servidores HTTP, apresenta um problema de injeção de comandos do sistema no método send_file() nas versões anteriores à 6.17. O método abre seu argumento de string com a forma de dois argumentos do open() do Perl, que trata certos prefixos como instruções para iniciar um subprocesso ou gravar em um arquivo.

Impacto

Entrada não confiável passada para send_file() pode executar comandos do sistema operacional com os privilégios do processo do daemon.
A forma de pipe de leitura pode expor a saída de subprocessos no corpo da resposta HTTP.
As formas de escrita podem criar ou truncar arquivos em caminhos escolhidos por um atacante.

O registro indica pontuação base CVSS 3.1 de 9,1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto em confidencialidade e integridade. Uma segunda pontuação CVSS 3.1, de 8,1, vem de outro provedor, e seu vetor não consta no registro.

Produtos e versões afetadas

HTTP::Daemon para Perl, versões anteriores à 6.17, conforme a descrição do registro.
A lista de versões afetadas do registro está vazia, portanto os pacotes e builds de distribuição afetados não podem ser determinados apenas com base no registro.
Avisos de distribuições são referenciados, mas as versões de pacote que cobrem não constam no registro.

Status de exploração

O registro não mostra inclusão no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,02614, com percentil de 0,85038. Trata-se de uma estimativa estatística de probabilidade, e não de evidência de ataques.

Correção e mitigação

Atualize o HTTP::Daemon para a versão 6.17 ou posterior, que a descrição não lista como vulnerável. Confirme a correção no aviso da sua plataforma.
Se a correção for adiada, deixe de passar strings não confiáveis ou influenciadas por usuários para send_file() e limite seu uso a caminhos fixos e validados.
Execute o daemon com o menor privilégio possível e restrinja o acesso de escrita aos diretórios que ele alcança.
Consulte a página de CVE da Red Hat e o aviso LTS da Debian para o status específico de cada distribuição.
Revise o pull request upstream e as mudanças da versão para confirmar o alcance da correção.

Orientações de detecção

Procure processos filhos inesperados iniciados pelo processo do servidor HTTP.
Monitore arquivos novos ou modificados em diretórios de documentos, caminhos de configuração ou outros locais onde o serviço possa escrever.
Revise respostas HTTP de rotas que servem arquivos em busca de saídas de comando inesperadas.
Correlacione requisições incomuns a endpoints de arquivos com os eventos acima.

Limitações das informações disponíveis

O registro não traz uma lista estruturada de versões afetadas ou corrigidas, nem dados CPE.
Não são fornecidas as versões de pacotes das distribuições.
O registro não identifica quais rotas da aplicação chamam send_file().
Os campos do KEV estão vazios, exceto a marcação de inclusão, e o nome do CWE está ausente.
A data do EPSS no registro é posterior à data de publicação, e seu significado aqui não é claro.

Perguntas frequentes

Quais versões são afetadas?

O registro descreve o HTTP::Daemon para Perl em versões anteriores à 6.17 como afetado. A lista de versões afetadas está vazia, então consulte o aviso da sua distribuição para as versões exatas dos pacotes.

Essa vulnerabilidade está sendo explorada?

O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que fazer agora?

Atualize para o HTTP::Daemon 6.17 ou posterior sempre que possível. Até a correção, evite passar entrada não confiável para send_file() e limite seu uso a caminhos fixos e validados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.