Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-897f-g5gm-fmxm (CVE-2026-115889) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën wasmtime të ekosistemit Rust. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- wasmtime (Rust) — versionet e prekura:
< 36.0.19; versioni me rregullim:36.0.19 - wasmtime (Rust) — versionet e prekura:
>= 37.0.0, < 43.0.0; versioni me rregullim:43.0.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-197 (Numeric Truncation Error), CWE-843 (Access of Resource Using Incompatible Type ('Type Confusion'))
- Identifikuesit: GHSA-897f-g5gm-fmxm, CVE-2026-115889
Përmbledhja zyrtare
Wasmtime: Paketimi në bit në kompiluesin Cranelift shkakton tejmbushje të heshtur dhe kompilim të pasaktë
Në versionet e Wasmtime para v43, backend-i i kompiluesit Cranelift i paketon indekset e vlerave SSA në bit në një mënyrë që mund të shkaktojë tejmbushje të heshtur në build-et release. Kjo mund të krijojë referenca të pasakta ndaj vlerave në përfaqësimin e ndërmjetëm (IR), duke çuar në kompilim të gabuar.
Problemi mund të shfrytëzohet përmes një funksioni Wasm me trup shumë të madh ose të ndërtuar posaçërisht për të përdorur shumë vlera SSA. Kjo mund të shkaktojë ngatërrim tipesh ose efekte të tjera anësore arbitrare dhe të mundësojë daljen nga mjedisi i izoluar, sandbox.
Në Wasmtime v43 është ndryshuar mënyra se si Cranelift e trajton këtë mekanizëm, por fragmenti i dhënë nuk përmban hollësi të mëtejshme për ndryshimin.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin wasmtime, përditësojeni sa më shpejt në versionin 36.0.19 ose më të ri.
