İki kritik Wasmtime boşluğu zərərli WebAssembly modullarının sandbox-dan çıxmasına yol aça bilər

İki kritik boşluq Wasmtime-də, digər proqramlara daxil edilə bilən WebAssembly icra mühitində, zərərli WebAssembly modulunun sandbox-dan çıxmasına yol aça bilər, layihənin mainteynerlərinə görə. Hücumçu əvvəlcə nəzarət etdiyi modulu kompilyasiya etmək üçün zəifliyi olan quruluşa malik olmalıdır və bir boşluq yalnız ARM64 sistemlərinə təsir edir. Düzəldilmiş versiyalar 19 və 20 oktyabrda buraxıldı və mainteynerlər hər hansı hücum bildirməyiblər.

Təsir olunanlar

Hər iki xəta Wasmtime-nin standart kompilyatoru Cranelift-dədir. CVE-2026-115889 bütün prosessor arxitekturalarına, CVE-2026-115893 isə yalnız ARM64-ə (aarch64) təsir edir. Bytecode Alliance hər bir xətanı CVSS şkalasında 10 üzərindən 9,9 qiymətləndirib. Risk başqalarının yazdığı modulları kompilyasiya edən xidmətlər üçün ən yüksəkdir; Fastly deyir ki, onun Compute platforması müştəri kodunu Wasmtime vasitəsilə işlədir. Təlimatlar təsirlənən xidmətləri göstərmir və qaçışdan sonra hücumçunun nəyə çıxış əldə edə biləcəyini müəyyən etmir. 26 oktyabr tarixinədək hər iki xəta CISA-nın Məlum İstismar Olunan Zəifliklər kataloqunda deyildi.

Versiya düzəlişləri

Düzəldilmiş buraxılışlar 36.0.19, 48.0.7, 49.0.4 və 50.0.0-dur. 36.0.19-dan əvvəlki quruluşlar, 37.0.0-42.x, ARM64 üzərində 43.0.0-47.x, 48.0.0-48.0.6 və 49.0.0-49.0.3 yenilənməlidir. Dəstəklənməyən xətlərdəki hostlar dəstəklənən buraxılışa keçməlidir. Yalnız 36, 48, 49 və 50 buraxılış xətləri hələ dəstəklənir; 24.x LTS xəttinə dəstək 2026-cı il avqustun 20-də bitdi və o, düzəliş almadı. Apreldə əvvəlki Cranelift sandbox qaçışını düzəltmək üçün yenilənmiş ARM64 hostları hələ də CVE-2026-115893 tərəfindən təsirlənir.

Boşluqlar necə işləyir

CVE-2026-115889 Cranelift-in 43-dən əvvəl dəyər izləmə nömrələrini 24 bitlik sahələrdə saxlamasından yaranır. Buraxılış quruluşlarında çox böyük nömrə xətasız daşdı, Cranelift yanlış dəyərə istinad edə və səhv maşın kodu yarada bilərdi. Çox böyük və ya hazırlanmış WebAssembly funksiyası bunu tip qarışdırmasını məcbur etmək və sandbox-dan çıxmaq üçün istifadə edə bilər. Wasmtime-nin əsas xətti 20 martda 43.0.0-da sahələri 32 bitə qədər genişləndirdi, 36.x LTS isə 19 oktyabrda eyni dəyişikliyi aldı. CVE-2026-115893 ARM64 üzərində br_table ilə bağlıdır. Diapazondan kənar indekslər təxminən 1 MiB-ə çata bilən şaxələnmə ilə standart hədəfə göndərilirdi; 256 000-dən çox hədəfi olan br_table atlama cədvəlini çox böyük edirdi və şaxələnmə səssizcə yanlış yerə yönəlirdi. Xəta 2020-ci ildə Wasmtime ARM64 dəstəyinə başladığından bəri var idi. Düzəliş diapazondan kənar indeksləri atlama cədvəlindən keçirir və 65 520-dən çox hədəfi olan br_table kompilyasiyasından imtina edir.

Digər təfərrüatlar

Wasmtime kitabxana kimi digər proqramlara daxil edilə bilər; əmr sətri alətinin yenilənməsi kifayət deyil, hər proqram düzəldilmiş versiya ilə yenidən qurulmalıdır. Heç bir təlimat müvəqqəti həll göstərmir. Hər iki xəta RustSec-də RUSTSEC-2026-0380 və RUSTSEC-2026-0379 kimi siyahıya alınıb. 26 oktyabrda GitHub-un təlimatlar bazasında CVE-2026-115889 üçün nəzərdən keçirilmiş giriş var idi, CVE-2026-115893 üçün yox; GitHub deyir ki, yalnız nəzərdən keçirilmiş girişlər Dependabot xəbərdarlıqlarını işə salır. Spin 21 oktyabrda 4.2.4 versiyasında Wasmtime 50.0.0-a keçdi.

Mənbələr: The Hacker News