- Yama var
- Son 7 gün
- CWE-20
CVE-2026-115384
Wasmtime'da async callback sonuç tipinden kaynaklanan yığın (stack) taşması
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu zafiyet, güvenlik sınırını aşarak sunucunun veya uygulamanın tamamen ele geçirilmesine ya da çökmesine yol açabilecek ciddi bir risk taşımaktadır. Kritik seviyede puanlandığı için etkilenen Wasmtime sürümleri olan sistemlerin öncelikli olarak güncellenmesi gerekir.
ÖzetTürkçe
Wasmtime'ın 39.0.0 ile 48.0.4 öncesi ve 49.0.0 ile 49.0.2 öncesi sürümlerinde, doğrulanmamış async callback sonuç tipleri nedeniyle yığın tampon taşması zafiyeti bulunmaktadır. Zararlı bir guest, component-model-async callback fonksiyonlarını yanlış tiplerle tanımlayan bileşenler sunarak yaklaşık 16 KB veriyi yerel yığına yazabilir. Etkilenen sürümler Wasmtime'ın bu sürümlerini kullanan sistemlerdir.
Saldırgan ne yapabilir?
Saldırgan, dönüş adreslerinin üzerine yazarak ana sürecin (host) çökmesine veya sandbox ortamından çıkılmasına neden olabilir. Sandbox dışına çıkış, ana sistem üzerinde kontrol sağlama riskini doğurur.
Kaynaktaki açıklama (İngilizce)
Wasmtime 39.0.0 before 48.0.4 and 49.0.0 before 49.0.2 contains a stack buffer overflow vulnerability that allows malicious guests to write ~16KB to the native stack via unvalidated async callback result types. Attackers can supply components with mistyped component-model-async callback functions to overwrite return addresses, crashing the host or escaping the sandbox.
Ne yapmalı?
- Wasmtime'ı 48.0.4 veya üzeri ya da 49.0.2 veya üzeri bir sürüme yükseltin. 39.0.0 ile 48.0.4 öncesi ve 49.0.0 ile 49.0.2 öncesi sürümler etkilenmektedir. Üretici
- Güncelleme yapılana kadar güvenilmeyen kaynaklardan gelen WebAssembly bileşenlerinin çalıştırılmasını durdurun. Genel öneri
- Yükseltme sonrasında kullanılan Wasmtime sürümünü doğrulayın ve uygulamayı yeniden başlatın. Genel öneri
Ek önlemler
- Sandbox içinde çalışan bileşenlerin kaynağını ve güvenilirliğini denetleyin; yalnızca doğrulanmış bileşenleri çalıştırın. Genel öneri
- Ana süreçte beklenmedik çökme, yeniden başlatma veya olağan dışı işlem davranışlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| bytecodealliance wasmtime | ≥ 39.0.0, < 48.0.4 | 48.0.4 |
| 48.0.4 Etkilenmiyor | – | |
| ≥ 49.0.0, < 49.0.2 | 49.0.2 | |
| 49.0.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.