Wasmtime'ta iki kritik açık, kötü niyetli WebAssembly modüllerinin sandbox'tan çıkmasına izin verebiliyor

Bytecode Alliance bakımcıları, CVSS'te 9,9 puanla derecelendirilen iki açığın düzeltildiğini duyurdu; iki açık da ekim sonunda yamalı sürümlerle kapatıldı ve bugüne kadar istismar bildirilmedi.

Bytecode Alliance bakımcılarına göre, Wasmtime'da her biri CVSS'te 9,9 üzerinden 9,9 puan alan iki kritik açık, kötü niyetli bir WebAssembly modülünün kendisine tanınan sandbox'tan çıkmasını sağlayabiliyor. Birinci açık, CVE-2026-115889, tüm mimarileri etkiliyor. Kaynağı, Cranelift'in değer takibinde kullandığı sayıları 24 bitlik alanlara sığdırması; sürüm derlemelerinde bu alanlar taştığında hata verilmeden sessizce taşması. İkinci açık, CVE-2026-115893, yalnızca ARM64 sistemlerinde görülüyor. Sorun, br_table atlama tablosu yaklaşık 256.000 hedefi aştığında aralık dışı atlamaların yanlış yere gönderilmesinden kaynaklanıyor.

Düzeltilmiş sürümler 19 ve 20 Ekim tarihlerinde yayımlandı: 36.0.19, 48.0.7, 49.0.4 ve 50.0.0. Bakımcılar, açıkların istismar edildiğine dair bir bildirim olmadığını belirtiyor. Wasmtime bir kütüphane olarak gömülü kullanıldığı için, bu açıkları kapatmak yalnızca komut satırı aracını güncellemekle olmuyor; Wasmtime'ı bağlayan her uygulamanın yeniden derlenmesi gerekiyor. 24.x LTS hattında çalışan sistemler için bir düzeltme yok. Üçüncü taraf WebAssembly kodunu çalıştıran servisler en fazla riskli olanlar. 26 Ekim itibarıyla CISA'nın bilinen istismar edilen açıklar kataloğunda iki açığın da yer almadığı görülüyor.