Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-197
  • CWE-843

CVE-2026-115889

Wasmtime Cranelift derleyicisinde bit paketleme taşması ve hatalı kod üretimi

bytecodealliance wasmtime

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
4 gün
Kaydı açan
GitHub_M

Yönetici özeti

Wasmtime kullanan uygulamalar, güvenilmeyen kodu izole etmek için tasarlanan güvenlik katmanının aşılmasına açık hale gelebilir. Bu durum sunucu ve veri güvenliği açısından yüksek risk taşır. Etkilenen sistemlerin öncelikli olarak güncellenmesi gerekmektedir.

ÖzetTürkçe

Wasmtime, WebAssembly için bir çalışma zamanıdır. 36.0.19 ve 43.0.0 öncesi sürümlerde Cranelift derleyici arka ucu, SSA değer indekslerini bit paketleme yöntemiyle saklamaktadır. Büyük veya özel hazırlanmış Wasm fonksiyonları derlenirken, release derlemelerinde bu indeksler sessizce taşabilir ve Cranelift yanlış IR değerlerine başvurabilir. Varsayılan Cranelift arka ucunu kullanan tüm mimarilerde etkilidir.

Saldırgan ne yapabilir?

Saldırgan, hatalı kod üretimi ve tür karışıklığı yoluyla istenmeyen davranışlar elde edebilir ve Wasm sandbox ortamından kaçabilir.

Kaynaktaki açıklama (İngilizce)

Wasmtime is a runtime for WebAssembly. Prior to 36.0.19 and 43.0.0, the Cranelift compiler backend bit-packs SSA value indices in a way that can silently overflow in release builds when compiling a sufficiently large or specially crafted Wasm function with many SSA values. The overflow can make Cranelift reference incorrect IR values, causing arbitrary miscompilation, type confusion, and other attacker-controlled effects that may escape the Wasm sandbox on any architecture using the default Cranelift backend. This issue is fixed in versions 36.0.19 and 43.0.0.

Ne yapmalı?

  1. Wasmtime'ı 36.0.19 veya 43.0.0 sürümüne yükseltin. Hangi dal kullanılıyorsa o dalın düzeltilmiş sürümünü seçin. Üretici
  2. Güncelleme yapılana kadar güvenilmeyen kaynaklardan gelen Wasm modüllerinin derlenmesini ve çalıştırılmasını durdurun. Genel öneri
  3. Güncellemeden sonra Wasmtime ile çalışan uygulamaları yeniden derleyip dağıtın. Genel öneri

Ek önlemler

  • Wasmtime sürümlerini envanterinizde takip edin ve yeni güvenlik sürümlerini düzenli olarak kontrol edin. Genel öneri
  • Wasm modüllerini çalıştıran sistemleri, ana sistemden ayrılmış ayrıcalıksız hesaplar ve ağ kısıtlamaları ile çalıştırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
bytecodealliance wasmtime < 36.0.19 36.0.19

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.