- Yama var
- Son 7 gün
- CWE-770
CVE-2026-115389
Wasmtime Val API üzerinde hizmet dışı bırakma (DoS) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Wasmtime, 36.0.16 öncesi, 37.0.0 ile 48.0.3 öncesi ve 49.0.0 ile 49.0.1 öncesi sürümlerde, dinamik tipli Val API üzerinden konuk (guest) değerleri çıkarırken ana makine (host) bellek ayırmalarını yeterince hesaba katmamakta ve bu sayede hostcall yakıt (fuel) sınırını atlatabilmektedir. Kötü niyetli bir WebAssembly konuk modülü, hazırlanmış değerler döndürerek takip edilenden en az ~100 kat fazla ana makine belleği ayırabilir ve hizmet dışı bırakmaya neden olabilir. CVSS:3.1/AV:A/AC:H/PR:L/UI:R/S:U/C:N/I:N/A:L
Kaynaktaki açıklama (İngilizce)
Wasmtime before 36.0.16, 37.0.0 before 48.0.3, and 49.0.0 before 49.0.1 does not adequately account for host allocations when lifting guest values through the dynamically-typed Val API, bypassing the hostcall fuel limit. A malicious WebAssembly guest can return crafted values that allocate at least ~100x more host memory than tracked, causing denial of service.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| bytecodealliance wasmtime | < 36.0.16 | 36.0.16 |
| 36.0.16 Etkilenmiyor | – | |
| ≥ 37.0.0, < 48.0.3 | 48.0.3 | |
| 48.0.3 Etkilenmiyor | – | |
| ≥ 49.0.0, < 49.0.1 | 49.0.1 | |
| 49.0.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.