CVE-2026-107794: módulo Perl ExtUtils::Typemaps::STL::List aloca 32 GiB para lista vazia

O que aconteceu e o que fazer

O aviso do CPAN Security Group, publicado na lista oss-sec em 10 de outubro de 2026 por Robert Rothenberg, descreve a CVE-2026-107794 na distribuição ExtUtils-Typemaps-Default, que contém o módulo ExtUtils::Typemaps::STL::List para Perl. Versões anteriores à 1.07 alocam um array de 32 GiB ao processar uma lista vazia, o que pode esgotar a memória e derrubar processos que usam essa distribuição.

Para uma empresa, o risco está em builds e serviços que dependem de bindings Perl e de componentes de terceiros, pois uma entrada vazia pode causar negação de serviço por consumo excessivo de memória. Ações práticas: inventariar todas as dependências Perl e suas versões em servidores, imagens de contêiner e pipelines de CI; atualizar para a versão 1.07 ou superior; aplicar limites de memória por processo (cgroups, ulimit) em jobs de build e workers; e incluir no CI uma verificação de dependências que falhe quando houver versões vulneráveis. O monitoramento de picos de memória por job ajuda a detectar casos semelhantes.

Como a consultoria pode ajudar

Diagnóstico de exposição: levantamos onde a distribuição ExtUtils-Typemaps-Default aparece no seu ambiente, incluindo servidores, contêineres e pipelines. Em seguida, implementamos a atualização, os limites de recursos e a verificação automatizada de dependências no CI, com operação contínua.

Próximo passo

Envie uma descrição breve do seu ambiente e de como Perl é usado em seus sistemas. Com ela, preparamos um diagnóstico e uma proposta escopada para a sua empresa.