- Yama var
- Son 7 gün
- CWE-400
CVE-2026-115388
Wasmtime wasi-http giden gövde yazma işleminde bellek tükenmesi nedeniyle hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Wasmtime'ın wasmtime-wasi-http bileşeni, 36.0.16 öncesi, 37.0.0 ile 48.0.3 öncesi ve 49.0.0 ile 49.0.1 öncesi sürümlerinde, WASIp2 giden HTTP gövdeleri için wasi:io/streams check-write sınırını uygulamıyor; bu nedenle aşırı büyük yazma işlemleri engellenmek yerine başarılı oluyor. Kötü niyetli bir konuk (guest), giden gövde kaynaklarına yazma çağrısında büyük tamponlar geçirerek ana sistem belleğinde ayrılan kaynakları store'un yaşam süresi boyunca tutabilir ve ana sistemin belleğini tüketebilir.
Kaynaktaki açıklama (İngilizce)
wasmtime-wasi-http in Wasmtime before 36.0.16, 37.0.0 before 48.0.3, and 49.0.0 before 49.0.1 does not enforce the wasi:io/streams check-write allowance for WASIp2 outgoing HTTP bodies, so oversized writes succeed instead of trapping. A malicious guest can pass large buffers to write on outgoing-body resources, holding host allocations for the store's lifetime and exhausting host memory.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| bytecodealliance wasmtime | < 36.0.16 | 36.0.16 |
| 36.0.16 Etkilenmiyor | – | |
| ≥ 37.0.0, < 48.0.3 | 48.0.3 | |
| 48.0.3 Etkilenmiyor | – | |
| ≥ 49.0.0, < 49.0.1 | 49.0.1 | |
| 49.0.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.