Më 28 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-mghf-wjfp-p5xm (CVE-2026-115893) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën wasmtime të ekosistemit Rust. Dobësia prek gjithsej 3 paketa.
Paketat e prekura
- wasmtime (Rust) — versionet e prekura:
< 36.0.19; versioni me rregullim:36.0.19 - wasmtime (Rust) — versionet e prekura:
>= 37.0.0, < 48.0.7; versioni me rregullim:48.0.7 - wasmtime (Rust) — versionet e prekura:
>= 49.0.0, < 49.0.4; versioni me rregullim:49.0.4
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-691 (Insufficient Control Flow Management)
- Identifikuesit: GHSA-mghf-wjfp-p5xm, CVE-2026-115893
Përmbledhja zyrtare
Wasmtime: backend-i Cranelift në aarch64 mund të kërcejë te një destinacion i pasaktë kur përpunon një instruksion të madh Wasm `br_table`
Kur përdor backend-in e kompiluesit Cranelift në arkitekturën aarch64, Wasmtime mund të kompilojë gabimisht një modul Wasm që përmban më shumë se rreth 256 mijë destinacione në një instruksion të vetëm `br_table`. Gabimi bën që një degëzim i kushtëzuar të ketë një destinacion të pasaktë.
Ky degëzim mund të kalojë te kod tjetër arbitrar, në një zhvendosje të kontrolluar nga përdoruesi, duke mundësuar dalje arbitrare nga kufijtë e sandbox-it.
Çdo instancë e motorit Wasmtime që ekzekutohet në aarch64 me cilësimet e parazgjedhura mund të detyrohet të kërcejë te kod arbitrar përmes një moduli Wasm të kontrolluar nga përdoruesi.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin wasmtime, përditësojeni sa më shpejt në versionin 36.0.19 ose më të ri.
