Wasmtime-ի երկու կրիտիկական թերությունները կարող են թույլ տալ չարամիտ WebAssembly մոդուլների դուրս գալը ավազարկղից

Wasmtime-ում՝ WebAssembly միջավայր, որը կարելի է ներառել այլ ծրագրերում, երկու կրիտիկական թերությունները կարող են թույլ տալ չարամիտ WebAssembly մոդուլին դուրս գալ ավազարկղից, ըստ նախագծի պահպանողների: Հարձակվողը նախ պետք է ունենար խոցելի հավաքում՝ իր կողմից վերահսկվող մոդուլը կոմպիլյացնելու համար, և մեկ թերությունն ազդում է միայն ARM64-ի վրա: Ուղղված տարբերակները թողարկվել են հոկտեմբերի 19-ին և 20-ին, և հարձակումներ չեն հաղորդվել:

Ինչն է ազդված

Երկու սխալն էլ Cranelift-ում են՝ Wasmtime-ի լռելյայն կոմպիլյատորում: CVE-2026-115889-ը ազդում է բոլոր պրոցեսորային ճարտարապետությունների վրա, CVE-2026-115893-ը՝ միայն ARM64-ի (aarch64): Bytecode Alliance-ը յուրաքանչյուրը գնահատել է 10-ից 9.9 CVSS-ով: Ռիսկը ամենաբարձրն է այն ծառայությունների համար, որոնք կոմպիլյացնում են այլ մարդկանց մոդուլներ; Fastly-ն ասում է, որ իր Compute պլատֆորմը աշխատեցնում է հաճախորդների կոդը Wasmtime-ով: Խորհրդատվությունները չեն նշում ազդված ծառայությունները կամ այն, թե ինչ կարող է հասանելի դառնալ հարձակվողին դուրս գալուց հետո: Հոկտեմբերի 26-ի դրությամբ ոչ մի թերություն չկար CISA-ի Known Exploited Vulnerabilities կատալոգում:

Տարբերակների ուղղումները

Ուղղված թողարկումներն են՝ 36.0.19, 48.0.7, 49.0.4 և 50.0.0: Թարմացման կարիք ունեն 36.0.19-ից առաջ եղած հավաքումները, 37.0.0-42.x, ARM64-ի վրա 43.0.0-47.x, 48.0.0-48.0.6 և 49.0.0-49.0.3: Չաջակցվող գծերի հոսթերը պետք է անցնեն աջակցվող թողարկման: Միայն 36, 48, 49 և 50 գծերն են աջակցվում; 24.x LTS-ի աջակցությունը ավարտվել է 2026 թ. օգոստոսի 20-ին և ուղղում չի ստացել: Ավելի վաղ Cranelift ավազարկղից դուրս գալը ուղղելու համար ապրիլին թարմացրած ARM64 հոսթերը դեռ ազդվում են CVE-2026-115893-ով:

Ինչպես են գործում թերությունները

CVE-2026-115889-ը առաջանում է նրանից, որ Cranelift-ը 43-ից առաջ արժեքների հետևման համարները պահում էր 24 բիթանոց դաշտերում: Թողարկման հավաքումներում չափազանց մեծ թիվը առանց սխալի գերլցվում էր, այնպես որ Cranelift-ը կարող էր հղում անել սխալ արժեքին և արտադրել սխալ մեքենայական կոդ: Շատ մեծ կամ հատուկ պատրաստված WebAssembly ֆունկցիան կարող է ստիպել տիպի շփոթություն և դուրս գալ ավազարկղից: Հիմնական մշակման գիծը դաշտերը 32 բիթի դարձրեց 43.0.0-ում՝ մարտի 20-ին, իսկ 36.x LTS-ը՝ հոկտեմբերի 19-ին: CVE-2026-115893-ը վերաբերում է br_table-ին ARM64-ում: Միջակայքից դուրս ինդեքսները ուղարկվում էին լռելյայն թիրախին՝ մոտ 1 MiB հասնող ճյուղով, այնպես որ մոտ 256,000-ից ավելի թիրախ ունեցող br_table-ը ցատկի աղյուսակը չափազանց մեծ էր դարձնում, և ճյուղը լռելյային ցույց էր տալիս սխալ տեղը: Սխալը առկա էր 2020-ից, երբ Wasmtime-ը առաջին անգամ աջակցեց ARM64-ին: Ուղղումը միջակայքից դուրս ինդեքսները ուղարկում է ցատկի աղյուսակով և հրաժարվում է կոմպիլյացնել br_table՝ ավելի քան 65,520 թիրախով:

Այլ մանրամասներ

Wasmtime-ը կարելի է ներառել այլ ծրագրերում որպես գրադարան, այնպես որ հրամանային տողի գործիքի թարմացումը չի ուղղում դրանք; Wasmtime ներառող յուրաքանչյուր ծրագիր պետք է վերակառուցվի ուղղված տարբերակով: Ոչ մի խորհրդատվություն շրջանցում չի նշում: Երկու թերություններն էլ նշված են RustSec-ում՝ որպես RUSTSEC-2026-0380 և RUSTSEC-2026-0379: Հոկտեմբերի 26-ի դրությամբ GitHub-ի խորհրդատվությունների տվյալների բազայում կար CVE-2026-115889-ի վերանայված գրառում, բայց CVE-2026-115893-ի համար չկար, և GitHub-ը ասում է, որ միայն վերանայված գրառումներն են առաջացնում Dependabot ահազանգեր: Spin-ը անցավ Wasmtime 50.0.0-ին 4.2.4 տարբերակում՝ հոկտեմբերի 21-ին:

Աղբյուրներ: The Hacker News