CVE-2026-34987
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w środowisku uruchomieniowym Wasmtime dotyczy kompilatora Winch (backend niestandardowy, nieużywany domyślnie). Błąd pozwala odpowiednio spreparowanemu kodowi Wasm na dostęp do pamięci hosta poza piaskownicą pamięci liniowej. Wymaga to włączenia kompilatora Winch opcją -Ccompiler=winch; domyślny backend Cranelift nie jest podatny.
Ocena ryzyka
Może prowadzić do awarii procesu hosta (DoS), wycieku danych z pamięci hosta, a w przypadku zapisu potencjalnie do zdalnego wykonania kodu (RCE). Ryzyko dotyczy wyłącznie środowisk, które jawnie korzystają z backendu Winch.
Rekomendacja
Zaktualizuj Wasmtime do wersji 36.0.7, 42.0.2 lub 43.0.1. Jeśli to możliwe, do czasu aktualizacji nie używaj kompilatora Winch i pozostań przy domyślnym backendzie Cranelift.
Inne podatności w Wasmtime
Zobacz wszystkie- CVE-2026-115893Krytyczne
Wasmtime przed wersjami 36.0.19, 48.0.7 i 49.0.4 posiada błąd w kompilatorze Cranelift na architekturze aarch64. Instrukcja br_table z ponad 256 000 celów może zostać błędnie skompilowana, umożliwiając skok do dowolnego kodu i ucieczkę z sandboxa.
- CVE-2026-115889Krytyczne
Wasmtime przed wersjami 36.0.19 i 43.0.0 ma błąd w kompilatorze Cranelift polegający na cichym przepełnieniu indeksów SSA przy kompilacji dużych funkcji Wasm. Może to prowadzić do błędnej kompilacji, pomieszania typów i ucieczki z sandboxa.
- CVE-2026-115384Krytyczne
Wasmtime w wersjach 39.0.0 przed 48.0.4 oraz 49.0.0 przed 49.0.2 zawiera przepełnienie bufora stosu, które pozwala złośliwym gościom zapisać około 16 KB na natywnym stosie poprzez niezwalidowane typy wyników asynchronicznych wywołań zwrotnych. Atakujący może dostarczyć komponenty z błędnie otypowanymi funkcjami callback component-model-async, aby nadpisać adresy powrotu, powodując awarię hosta lub ucieczkę z piaskownicy.
- CVE-2026-119143Średnie
Wasmtime w wersjach 46.0.0 do 48.0.6 oraz 49.0.0 do 49.0.3 zawiera podatność typu denial of service, która pozwala kodowi gościa wywołać panikę hosta poprzez operacje strumieniowe o zerowej długości poza zakresem. Złośliwy gość może wykonać odczyt lub zapis strumienia modelu komponentów o zerowej długości z niezwalidowanymi adresami, powodując panikę i awarię osadzających WASIp3.
- CVE-2026-119142Średnie
Wasmtime w wersjach 46.0.0 do 48.0.6 oraz 49.0.0 do 49.0.3 zawiera podatność typu denial of service, w której porzucenie obiektu Future zwróconego przez TypedFunc::call_async może wywołać panikę hosta. Gdy zadanie gościa nie zostało rozpoczęte, kod czyszczący szuka elementów pracy tylko w jednym miejscu i odpakowuje wynikowy błąd, powodując awarię osadzających, którzy anulują oczekujące wywołania.
- CVE-2026-119141Średnie
Wasmtime w wersjach 46.0.0 do 48.0.6 oraz 49.0.0 do 49.0.3 zawiera podatność typu denial of service, która pozwala złośliwym modułom Wasm wywołać panikę hosta, ponieważ flaga may_leave nie jest czyszczona podczas realloc. Atakujący może wywołać kod hosta z realloc podczas obniżania wyników strumieni lub future, np. anulując aktywny odczyt lub ponownie oczekując na waitable-set, powodując awarię hosta.
- CVE-2026-119140Średnie
Wasmtime w wersjach 46.0.0 do 48.0.6 oraz 49.0.0 do 49.0.3 zawiera podatność typu denial of service, która pozwala złośliwym komponentom wywołać panikę hosta poprzez thread.yield w funkcjach startowych. Atakujący może dostarczyć komponent, którego funkcja startowa wywołuje asynchronicznie obniżony import, a następnie thread.yield, powodując porzucenie nieusuniętego fiber i awarię osadzających.
- CVE-2026-119139Średnie
Wasmtime w wersjach 46.0.0–48.0.5 i 49.0.0–49.0.2 zawiera pozostałą asercję w component::Func::call, która odrzuca eksporty gościa korzystające z opcji async ABI. Atakujący dostarczający komponent z eksportem async-lifted może spowodować awarię procesu hosta, gdy embedder wywoła ten eksport przez Func::call.
- CVE-2026-119138Średnie
Wasmtime w wersjach 46.0.0–48.0.5 i 49.0.0–49.0.2 zawiera podatność typu denial of service, w której oczekujące wywołania mogą wywołać błąd asercji po zatruciu Store przez trap. Atakujący dostarczający błędnie działający kod gościa może wywołać trap i pozwolić wcześniejszym wywołaniom kontynuować, powodując awarię embedderów używających niespójnego Store.
- CVE-2026-119137Średnie
Wasmtime w wersjach 42.0.0–48.0.5 i 49.0.0–49.0.2 zawiera podatność przepełnienia stosu, która pozwala gościom na crash hosta poprzez rekurencyjne usuwanie typów. Goście mogą zdefiniować długi łańcuch typów rekurencyjnych, tak że usunięcie typu najwyższego poziomu wywołuje nieograniczone rekurencyjne usuwanie, wyczerpując stos hosta.
Oryginalny opis (angielski, źródło NVD)
Wasmtime is a runtime for WebAssembly. From 25.0.0 to before 36.0.7, 42.0.2, and 43.0.1, Wasmtime with its Winch (baseline) non-default compiler backend may allow properly constructed guest Wasm to access host memory outside of its linear-memory sandbox. This vulnerability requires use of the Winch compiler (-Ccompiler=winch). By default, Wasmtime uses its Cranelift backend, not Winch. With Winch, the same incorrect assumption is present in theory on both aarch64 and x86-64. The aarch64 case has an observed-working proof of concept, while the x86-64 case is theoretical and may not be reachable in practice. This Winch compiler bug can allow the Wasm guest to access memory before or after the linear-memory region, independently of whether pre- or post-guard regions are configured. The accessible range in the initial bug proof-of-concept is up to 32KiB before the start of memory, or ~4GiB after the start of memory, independently of the size of pre- or post-guard regions or the use of explicit or guard-region-based bounds checking. However, the underlying bug assumes a 32-bit memory offset stored in a 64-bit register has its upper bits cleared when it may not, and so closely related variants of the initial proof-of-concept may be able to access truly arbitrary memory in-process. This could result in a host process segmentation fault (DoS), an arbitrary data leak from the host process, or with a write, potentially an arbitrary RCE. This vulnerability is fixed in 36.0.7, 42.0.2, and 43.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS