İki Kritik Wasmtime Açığı, Kötü Amaçlı WebAssembly Modüllerinin Korumalı Alandan Kaçmasına İzin Verebilir

Wasmtime, başka yazılımlara gömülebilen bir WebAssembly çalışma zamanıdır; bakımcılara göre iki kritik açık, kötü amaçlı bir WebAssembly modülünün korumalı alanından kaçmasını sağlayabilir. Saldırganın önce savunmasız bir yapıda kontrol ettiği bir modülü derlemesi gerekir ve açıklardan biri yalnızca ARM64 sistemlerini etkiler. Düzeltmeler 19 ve 20 Ekim'de yayımlandı; bakımcılar saldırı bildirmedi.

Etkilenenler

Her iki hata da Wasmtime'ın varsayılan derleyicisi Cranelift'tedir. CVE-2026-115889 tüm işlemci mimarilerini, CVE-2026-115893 yalnızca ARM64'ü (aarch64) etkiler. Bytecode Alliance her iki açığı CVSS'te 10 üzerinden 9,9 puanladı. Risk, başkalarının yazdığı modülleri derleyen hizmetlerde en yüksektir; Fastly, Compute platformunun müşteri kodunu Wasmtime ile çalıştırdığını söylüyor. Danışma metinleri etkilenen hizmetleri adlandırmıyor veya kaçıştan sonra erişilebilecekleri belirtmiyor. 26 Ekim itibarıyla her iki açık da CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu.

Sürüm düzeltmeleri

Düzeltilmiş sürümler 36.0.19, 48.0.7, 49.0.4 ve 50.0.0'dır. 36.0.19 öncesi yapılar, 37.0.0 ile 42.x sürümleri, ARM64'de 43.0.0 ile 47.x, 48.0.0 ile 48.0.6 ve 49.0.0 ile 49.0.3 sürümleri güncellenmeli. Desteklenmeyen hatlardaki konaklar desteklenen sürüme geçmeli. Yalnızca 36, 48, 49 ve 50 hatları destekleniyor; 24.x LTS desteği 20 Ağustos 2026'da bitti ve düzeltme almadı. Nisan güncellemesiyle daha önceki Cranelift korumalı alan kaçışını düzelten ARM64 konakları hâlâ CVE-2026-115893'ten etkileniyor.

Açıklar nasıl çalışır

CVE-2026-115889, Cranelift'in 43. sürümden önce değer izleme sayılarını 24 bitlik alanlarda saklamasından kaynaklanır. Yayın yapılarında, alanı aşan bir sayı sessizce taştı; Cranelift yanlış değere başvurup hatalı makine kodu üretebiliyordu. Çok büyük veya hazırlanmış bir WebAssembly işlevi bunu tür karışıklığına ve korumalı alandan kaçışa zorlayabilir. Wasmtime'ın ana geliştirme hattı, 43.0.0 sürümünde 20 Mart'ta alanları 32 bite genişletti ve 36.x LTS hattı aynı değişikliği 19 Ekim'de aldı. CVE-2026-115893, ARM64'de br_table ile ilgilidir. Aralık dışı indeksler yaklaşık 1 MiB'ye ulaşabilen dallanmayla varsayılan hedefe gitti; 256.000'den fazla hedefli br_table atlama tablosunu aşırı büyütüp dallanmayı sessizce yanlış yere yönlendirdi. Hata, Wasmtime'ın ARM64'ü ilk desteklediği 2020'den beri mevcuttu. Düzeltme aralık dışı indeksleri atlama tablosundan geçirir ve 65.520'den fazla hedefli br_table'ı derlemeyi reddeder.

Diğer ayrıntılar

Wasmtime bir kitaplık olarak başka programlara gömülebildiğinden komut satırı aracını güncellemek yetmez; Wasmtime içeren her program düzeltilmiş sürümle yeniden derlenmelidir. Her iki danışma metni de geçici çözüm listelemiyor. Her iki açık da RustSec'te RUSTSEC-2026-0380 ve RUSTSEC-2026-0379 olarak listeleniyor. 26 Ekim itibarıyla GitHub danışma veritabanında CVE-2026-115889 için incelenmiş kayıt vardı, CVE-2026-115893 için yoktu; GitHub yalnızca incelenmiş kayıtların Dependabot uyarılarını tetiklediğini söylüyor. Spin, 21 Ekim'de 4.2.4 sürümünde Wasmtime 50.0.0'a geçti.

Kaynaklar: The Hacker News