Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Wasmtime: dwie krytyczne luki w Cranelift pozwalają modułowi wyjść z piaskownicy

Dwie luki w kompilatorze Cranelift w Wasmtime mają ocenę CVSS 9,9 i pozwalają złośliwemu modułowi WebAssembly wyjść z piaskownicy. Poprawki wydano 19 i 20 października.

Karta wpisu: Wasmtime: dwie krytyczne luki w Cranelift pozwalają modułowi wyjść z piaskownicy

Dwie luki w Wasmtime, środowisku uruchomieniowym WebAssembly, pozwalają złośliwemu modułowi wyjść z piaskownicy. Poprawione wersje wydano 19 i 20 października, a opiekunowie projektu nie zgłosili żadnych ataków. Obie luki są w Cranelift, czyli kompilatorze, którym Wasmtime domyślnie zamienia WebAssembly na kod maszynowy. Bytecode Alliance oceniła każdą z nich na 9,9 w skali CVSS. Według stanu z 26 października żadnej nie było w katalogu KEV prowadzonym przez CISA.

Kogo dotyczy

Atakujący musi doprowadzić do skompilowania kontrolowanego przez siebie modułu w podatnej wersji Wasmtime, a jedna z luk dotyczy wyłącznie systemów ARM64. Ryzyko jest największe w usługach, które kompilują moduły napisane przez innych. Fastly podaje, że jego platforma Compute uruchamia kod klientów na Wasmtime. Komunikaty nie wymieniają podatnych usług.

Co zrobić

Poprawki trafiły tylko do wspieranych linii wydań 36, 48, 49 i 50. Czy dana wersja jest podatna, zależy od linii wydań, a przy jednej z luk także od architektury procesora. Pozostałe linie, w tym 24.x LTS, której wsparcie skończyło się 20 sierpnia 2026, nie dostały poprawki.

TAB. 2

Źródła

1
The Hacker News — Two Critical Wasmtime Flaws Could Let Malicious WebAssembly Modules Escape Sandboxesthehackernews.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com