CVE-2026-44216
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wasmtime od wersji 30.0.0 do 36.0.8, 43.0.2 i 44.0.1 zawiera podatność na panikę przy alokacji bardzo dużych tablic WebAssembly. Problem wynika z arytmetyki sprawdzającej przepełnienie, która powoduje panikę przy próbie utworzenia tablicy o rozmiarze 64-bitowym (zgodnym z propozycją memory64). Atakujący może wywołać panikę poprzez dostarczenie modułu lub komponentu WebAssembly z żądaniem utworzenia ekstremalnie dużej tablicy.
Ocena ryzyka
Podatność umożliwia atakującemu doprowadzenie do awarii (paniki) procesu Wasmtime, co może skutkować przerwaniem działania usługi (DoS) w środowiskach produkcyjnych korzystających z tego runtime'u.
Rekomendacja
Należy niezwłocznie zaktualizować Wasmtime do wersji 36.0.8, 43.0.2 lub 44.0.1 (w zależności od używanej gałęzi). Jeśli aktualizacja nie jest możliwa, należy ograniczyć możliwość ładowania niezaufanych modułów WebAssembly z dużymi tablicami.
Inne podatności w Wasmtime
Zobacz wszystkie- CVE-2026-58494Średnie
Wasmtime to środowisko uruchomieniowe dla WebAssembly. Przed wersjami 24.0.11, 36.0.12, 45.0.3 i 46.0.1, komponent wasmtime-wasi podczas tworzenia twardych dowiązań i zmiany nazw sprawdzał uprawnienia katalogów, ale nie uwzględniał uprawnień FilePerms dla źródłowych i docelowych preopenów. Umożliwiało to gościowi WASI z uprawnieniami tylko do odczytu źródłowego pliku nadpisanie plików hosta udostępnionych jako FilePerms::READ przez interfejsy systemów plików wasip1, wasip2 lub wasip3.
- CVE-2026-54786Średnie
Wasmtime do wersji 24.0.10, 36.0.11, 44.0.3 oraz 45.0.2 zawiera podatność w natywnej implementacji WASIp1, gdzie funkcja fd_renumber nie zamyka prawidłowo deskryptora pliku, do którego następuje przepisanie. Powoduje to wyciek zasobów w systemie gospodarza, który może prowadzić do wyczerpania dostępnych deskryptorów plików i zasobów.
- CVE-2026-47261Wysokie
Wasmtime, środowisko uruchomieniowe dla WebAssembly, ma lukę w wersjach przed 24.0.9, 36.0.10 i 44.0.2, która pozwala na obejście mechanizmu kontroli dostępu przy użyciu interfejsów wasip2 descriptor.open-at lub wasip1 path_open. Problem wynika z braku odpowiedniego ustawienia trybu otwarcia, co umożliwia otwarcie pliku z flagą OpenFlags::TRUNCATE bez odpowiednich uprawnień do zapisu.
- CVE-2026-34971Wysokie
Wasmtime w wersjach od 32.0.0 do 36.0.7, 42.0.2 i 43.0.1 zawiera błąd w kompilatorze Cranelift na architekturze aarch64, który powoduje nieprawidłowe obliczanie adresów pamięci przy dostępie do sterty. Błąd umożliwia modułom WebAssembly ominięcie kontroli granic i uzyskanie dostępu do dowolnej pamięci hosta, co prowadzi do ucieczki z piaskownicy.
Oryginalny opis (angielski, źródło NVD)
Wasmtime is a runtime for WebAssembly. From 30.0.0 to 36.0.8, 43.0.2, and 44.0.1, Wasmtime's allocation logic for a WebAssembly table contained checked arithmetic which panicked on overflow. This overflow is possible to trigger, and thus panic, when a table with an extremely large size is allocated. This is possible with the WebAssembly memory64 proposal where tables can have sizes in the 64-bit range as opposed to the previous 32-bit range which would not overflow. The panic happens when attempting to create a very large table, such as when instantiating a WebAssembly module or component. This vulnerability is fixed in 36.0.8, 43.0.2, and 44.0.1.