- Yama var
- Son 7 gün
- CWE-787
CVE-2026-115393
Wasmtime'da Engine'ler arası nesne karışımından kaynaklanan tür karışıklığı açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Wasmtime'ın 24.0.12 öncesi, 25.0.0 ile 36.0.13 öncesi, 37.0.0 ile 46.0.2 öncesi ve 47.0.0 ile 47.0.3 öncesi sürümlerinde, birkaç Store API'si nesnelerin Store'un Engine'ine ait olup olmadığını doğrulamadığı için bir tür karışıklığı açığı bulunmaktadır. Gömülü kullanıcılar Instance::new, StructRefPre::new veya Tag::new üzerinden nesneleri Engine'ler arasında karıştırabilir; bu da trampoline imza uyuşmazlıklarına yol açarak sınır dışı yığın yazmalarına, GC yığın belleğinin bozulmasına veya panic durumlarına neden olabilir.
Kaynaktaki açıklama (İngilizce)
Wasmtime before 24.0.12, 25.0.0 before 36.0.13, 37.0.0 before 46.0.2, and 47.0.0 before 47.0.3 contains a type confusion vulnerability because several Store APIs fail to validate that objects belong to the Store's Engine. Embedders mixing objects between Engines via Instance::new, StructRefPre::new, or Tag::new can trigger trampoline signature mismatches causing out-of-bounds stack writes, GC heap corruption, or panics.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| bytecodealliance wasmtime | < 24.0.12 | 24.0.12 |
| 24.0.12 Etkilenmiyor | – | |
| ≥ 25.0.0, < 36.0.13 | 36.0.13 | |
| 36.0.13 Etkilenmiyor | – | |
| ≥ 37.0.0, < 46.0.2 | 46.0.2 | |
| 46.0.2 Etkilenmiyor | – | |
| ≥ 47.0.0, < 47.0.3 | 47.0.3 | |
| 47.0.3 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.