Wasmtime repariert zwei schwere Abstürze in Cranelift (CVE-2026-115889, CVE-2026-115893)

In den letzten Wochen wurden zwei ernsthafte Fehler in Wasmtime korrigiert, die WebAssembly Laufumgebung, die in Programme außerhalb des Browsers integriert ist. Die Betreuer bewerteten jede Schwachstelle mit 9.9 / 10 auf der CVSS-Skala und veröffentlichten Patches zwischen 19. und 20. Oktober. Die Fehler ermöglichen unter bestimmten Bedingungen ein schädliches WebAssembly-Modul, um aus der Sandbox zu entkommen, die es begrenzen und Code außerhalb Ihres autorisierten Bereichs ausführen sollte. Nach amtlichen Anmerkungen gibt es keine öffentlichen Berichte über die aktive Ausbeutung bis zum in den Bekanntmachungen angegebenen Stichtag.

Was wird bestätigt: die beiden Fehler sind implementiert in Cranelift, der Standard-Compiler Wasmtime verwendet, um Abfall in Maschinencode umzuwandeln. Sie sind als CVE-2026-115889 (beeinflusst alle Architekturen) und CVE-2026-115893 (beeinflusst nur ARM64 / aarch64). Die Betreuer veröffentlichten korrigierte Versionen (z.B. Wasmtime 50.0.0 und Punkt Patches auf unterstützten Zeilen), die verletzliche Bedingungen beseitigen. Darüber hinaus sind beide Einträge in der RustSec Sicherheitsbasis unter den oben genannten Kennungen aufgeführt, und der Katalog der ausgenutzten Schwachstellen, die CISA bekannt war, umfasste diese CVE nicht wie am 26. Oktober.

Wie die Fehler technisch funktionieren (überprüfbare technische Zusammenfassung): CVE-2026-115889 kommt von der Art, wie Cranelift intern kodierte Zahlen verwendet, um Werte innerhalb einer Funktion zu identifizieren: ursprünglich wurden diese Kennungen in 24-Bit-Feldern angepasst und in Start-Compilations eine Kennung, die diesen Raum überschritten wurde unentdeckt, was den Compiler dazu veranlassen könnte, auf den falschen Wert zu verweisen und falschen Code zu generieren. Dieses Verhalten ermöglicht es, extrem große Abfallfunktionen zu bauen oder entworfen, um viele Kennungen zu konsumieren und eine Art Verwirrung zu zwingen, die die Sandkastengarantien brechen könnte. CVE-2026-115893 erforscht Wasm's br _ Tabellenanweisung: In ARM64 generierte Cranelift einen "long range" Zweig zur Standardsprungeingabe, der nur einen begrenzten Bereich (h1 MiB) erreichen konnte. Wenn eine Tabelle von Sprüngen zu viele Eingänge hatte (mehr als ~ 256.000), überstieg der Zweig den Bereich und zeigte sich leise auf eine falsche Richtung, so dass das gesteuerte Modul in Prozesse mit der Standardkonfiguration in ARM64 in beliebigen Code springen. Die Korrektur ändert die Erzeugung, so dass die Out-of-Range-Indizes nicht mit einem Langstreckenzweig durch die Tabelle selbst geführt werden und eine Ablehnungsschwelle für zu große Tabellen (br _ Tabelle mit mehr als 65,520 Zielen werden verweigert).

Wer am meisten gefährdet ist - Fakten und Schätzungen: Das reale Risiko wird durch die Möglichkeit bestätigt, dass ein Dritter ein Wasm-Modul hochladen oder liefern wird, das der Host mit einer verletzlichen Version von Wasmtime konkurrieren wird. Daher sind die Dienste, die externen Benutzercode akzeptieren und kompilieren - zum Beispiel Edge Computing-Plattformen oder "serverless", die WebAssembly ausführen - am meisten exponiert. Dies entspricht den öffentlichen Beispielen: Lieferanten wie Fast haben die Nutzung von Wasmtime auf Plattformen dokumentiert, die den Kundencode ausführen, was das Bedrohungsmodell illustriert, auch wenn offizielle Hinweise keine betroffenen Dienste auflisten oder bekannte Vorfälle beanspruchen. Es ist eine vernünftige Schätzung (aber keine Bestätigung), dass Umgebungen, die Drittanbieter-Module nicht kompilieren oder nur unterzeichnete / zertifizierte Module laufen, viel weniger Risiko sind.

Umfang der Versionen und Unterstützung - wichtige Tatsachen für die Minderung: Wasmtime hält Linien mit unterschiedlicher Unterstützung: LTS (mehrere von 12) erhalten Unterstützung für zwei Jahre; andere Linien nur zwei Monate. Die Betreuer gaben an, dass zum Zeitpunkt der Mitteilung nur die Zeilen 36, 48, 49 und 50 unterstützt wurden; viele alte Zweige, einschließlich LTS 24.x, deren Unterstützung am 20. August 2026 endete, wurden nicht korrigiert. Die Versionen nach jeder Zeile sind: Update auf 36.0.19, 48.0.7, 49.0.4 oder Wasmtime 50.0.0 (letztere korrigiert beide Fehler). Wichtig: Die Abfallzeit ist in der Regel als Bibliothek eingebettet: Die Aktualisierung nur des Befehlszeilentools mindert nicht geprägte Abhängigkeiten; jedes Produkt einschließlich der Abfallzeit muss durch die Verknüpfung der sicheren Version rekonstruiert werden.

Spezifische und priorisierte Aktionen, die Sie jetzt ergreifen sollten: 1) Inventar verwendet: identifizieren Sie alle Binäre, Container und Pakete, die Wasmtime in Ihrer Umgebung enthalten und bestimmen Sie die Versionszeile (z.B. 36.x, 48.x, 49.x, 50.x oder nicht unterstützte Zeilen). 2) Update und Remodel: für unterstützte Umgebungen, aktualisieren Sie auf die oben angegebenen korrigierten Versionen; für Produkte, die Wasmtime als Buchladen verkörpern, rekonstruieren Sie diese Programme mit der sicheren Version; für ununterstützte Linien wandern Sie auf eine unterstützte Linie und wenden Sie das Patch an. 3) Analysieren Sie die Belichtung: Wenn Ihr Service Benutzermodule kompiliert, behandeln Sie diese Eingabepunkte als oberste Priorität für Parken und Bereitstellung. 4) Erkennung von Abhängigkeiten: Laufwerkzeuge wie Cargo-Audit, um RUSTSEC-Eingänge zu erkennen (assoziierte IDs sind in RustSec aufgeführt); dies hilft, Abfall in Abhängigkeitsketten betroffen zu finden. 5) Kompensatorische Kontrollen, wenn Sie nicht sofort parken können: es beschränkt die Möglichkeit, dass Dritte Module hochladen oder kompilieren (z.B. die JIT-Compilation von unified Module deaktivieren, die Ablehnung von Lasten implementieren, die Signatur von Modulen verlangen oder die Zusammenstellung in zusätzlichen OS-Sandboxen als Container mit seccomp / SELinux-Richtlinien isolieren). 6) Aufnahme und Monitor: Ermöglichen Sie detaillierte Ausführungsprotokolle und überwachen Sie atypische Verhaltensweisen (ungewöhnliche Sprünge, außerbetriebliche Ausführung zugewiesen) und überwachen Sie öffentliche Warnungen und Eingaben auf Basis wie GitHub Advisory Database, RustSec und CISA.

Es ist nicht klar oder bestätigt: Die Mitteilungen geben nicht an, welche spezifischen Ressourcen ein Angreifer nach dem Entweichen des Sandkastens oder der Liste betroffenen Lieferanten erhalten konnte; noch präzisieren sie genau, wann das Team die Sicherheitswirkung für die erste Sicherheitslücke erkannte (technische Korrektur - Ausdehnung von Feldern auf 32 Bits - wurde zuvor aus Kapazitätsgründen eingeführt). Es gibt auch keine verifizierten öffentlichen Betriebsdaten in aktiven Kampagnen am Ende der Mitteilungen. In ARM64 existierte der zweite Misserfolg, seit Wasmtime diese Architektur unterstützte (2020), aber es gibt keine öffentlichen Beweise für massiven Missbrauch.

Für Korrekturen und Download veröffentlichte Versionen, siehe das Projekt startet Seite: Laufzeit v50.0.0, und überprüfen Sie die Sicherheitstickets nach RustSec: RUSTIZ-2026-0380 und RUSTIZ-2026-0379. Für den Kontext auf der Liste der ausgebeuteten Schwachstellen und deren Überwachung durch kritische Infrastruktur siehe CISA-Katalog: CISA KEV Katalog.

Kurz gesagt: Behandeln Sie diese Korrekturen als eine hohe Priorität, wenn Ihre Infrastruktur kompiliert oder läuft Abfallmodule unzuverlässiger Herkunft; Patching und Rekonstruktion von Bibliotheken ist die sichere und direkte Maßnahme. Wenn Sie dies nicht sofort tun können, reduzieren Sie die Belichtung, indem Sie die Aufnahme und Zusammenstellung von Modulen einschränken und zusätzliche Kontrollen auf Containerebene und Authentifizierung von Modulen anwenden, bis die endgültige Lösung eingesetzt wird.