CVE-2026-34987

CRITICAL CVSS 4.0: 9,0 EPSS 0.05%
Обновлено 9 апреля 2026
Wasmtime
Параметр Значение
CVSS 9,0 (CRITICAL)
Уязвимые версии до 36.0.7
Устранено в версии 36.0.7
Тип уязвимости CWE-787 (Запись за пределами буфера), CWE-125 (Чтение за пределами буфера)
Поставщик Wasmtime
Публичный эксплойт Нет

Wasmtime — это среда выполнения WebAssembly. Начиная с версий 25.0.0 и до версий 36.0.7, 42.0.2 и 43.0.1, Wasmtime с его нестандартным бэкендом компилятора Winch (базовый) может позволить правильно сконструированному гостевому Wasm получать доступ к памяти хоста за пределами его изолированной программной среды с линейной памятью. Эта уязвимость требует использования компилятора Winch (-Ccompiler=winch).

По умолчанию Wasmtime использует серверную часть Cranelift, а не Winch. В случае с Winch одно и то же неверное предположение теоретически присутствует как на aarch64, так и на x86-64. Случай aarch64 имеет наблюдаемое работающее доказательство концепции, тогда как случай x86-64 является теоретическим и может быть недостижим на практике.

Эта ошибка компилятора Winch может позволить гостю Wasm получить доступ к памяти до или после региона линейной памяти, независимо от того, настроены ли регионы до или после защиты. Доступный диапазон в первоначальной проверке концепции ошибки составляет до 32 КБ до начала памяти или ~ 4 ГБ после начала памяти, независимо от размера областей до или после защиты или использования явной или основанной на защитной области проверки границ. Однако основная ошибка предполагает, что старшие биты 32-битного смещения памяти, хранящегося в 64-битном регистре, очищены, хотя это не так, и поэтому тесно связанные варианты первоначального доказательства концепции могут иметь возможность доступа к действительно произвольной памяти в процессе.

Это может привести к ошибке сегментации хост-процесса (DoS), утечке произвольных данных из хост-процесса или записи, потенциально произвольного RCE. Эта уязвимость исправлена ​​в версиях 36.0.7, 42.0.2 и 43.0.1.

Показать оригинальное описание (EN)

Wasmtime is a runtime for WebAssembly. From 25.0.0 to before 36.0.7, 42.0.2, and 43.0.1, Wasmtime with its Winch (baseline) non-default compiler backend may allow properly constructed guest Wasm to access host memory outside of its linear-memory sandbox. This vulnerability requires use of the Winch compiler (-Ccompiler=winch). By default, Wasmtime uses its Cranelift backend, not Winch. With Winch, the same incorrect assumption is present in theory on both aarch64 and x86-64. The aarch64 case has an observed-working proof of concept, while the x86-64 case is theoretical and may not be reachable in practice. This Winch compiler bug can allow the Wasm guest to access memory before or after the linear-memory region, independently of whether pre- or post-guard regions are configured. The accessible range in the initial bug proof-of-concept is up to 32KiB before the start of memory, or ~4GiB after the start of memory, independently of the size of pre- or post-guard regions or the use of explicit or guard-region-based bounds checking. However, the underlying bug assumes a 32-bit memory offset stored in a 64-bit register has its upper bits cleared when it may not, and so closely related variants of the initial proof-of-concept may be able to access truly arbitrary memory in-process. This could result in a host process segmentation fault (DoS), an arbitrary data leak from the host process, or with a write, potentially an arbitrary RCE. This vulnerability is fixed in 36.0.7, 42.0.2, and 43.0.1.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0