Wasmtime: Stack-Pufferüberlauf über falsch typisierte component-model-async-Callbacks
Zusammenfassung
Wasmtime, eine WebAssembly-Laufzeitumgebung, die als Bibliothek in anderer Software eingesetzt wird, validiert die Rückgabetypen von component-model-async-Callback-Funktionen nicht. Eine bösartige Gast-Komponente kann etwa 16 KB auf den nativen Stack des Hosts schreiben und Rücksprungadressen überschreiben. Dadurch kann der Host-Prozess abstürzen oder die WebAssembly-Sandbox verlassen werden. Der Angriff setzt voraus, dass die einbettende Software nicht vertrauenswürdige oder Drittanbieter-WebAssembly-Komponenten lädt.
Betroffen
- Wasmtime 39.0.0 bis vor 48.0.4
- Wasmtime 49.0.0 bis vor 49.0.2
- Betroffen sind Produkte, die diese Wasmtime-Versionen einbetten, zum Beispiel Plugin-Systeme oder Edge-Funktionen. Lockfiles und vorkompilierte Binärdateien auf wasmtime prüfen.
Behoben in
- Auf Wasmtime 48.0.4 oder 49.0.2 aktualisieren (gemäss GitHub-Advisory).
- Für Produkte, die Wasmtime einbetten, die spätere Version des Herstellers verwenden.
Umgehung
- Das Feature component-model-async deaktivieren. Wasmtime weist Komponenten dann ab, die async-Funktionen verwenden, einschliesslich async-Callbacks.
- Alternativ Komponenten mit wasmparser v1.260.0 oder neuer validieren und ungültige Komponenten abweisen, bevor sie Wasmtime erreichen.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen ist keine bekannte Ausnutzung bekannt. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CVSS 9.4 (v4.0, kritisch) gemäss CVE-Eintrag. Analysten unterscheiden sich beim v4-Vektor.
Unsere Empfehlung
- Systeme und Anwendungen auf wasmtime prüfen, einschliesslich Rust-Crates, Python-Wheels und vorkompilierter Binärdateien.
- Auf 48.0.4 oder 49.0.2 aktualisieren oder bestätigen, dass der Produkthersteller die Korrektur ausgeliefert hat.
- Falls nicht rasch gepatcht werden kann, component-model-async deaktivieren oder nur vertrauenswürdige Komponenten zulassen.
- Advisories der eigenen Produkthersteller prüfen, da Downstream-Pakete der Korrektur hinterherhinken können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-32h6-97mm-8q3c github.com
- VulnCheck Advisory www.vulncheck.com
- Wasmtime release v49.0.2 github.com
- OSV RUSTSEC-2026-0327 osv.dev
- Ubuntu security notice CVE-2026-115384 ubuntu.com
- VulDB entry 425442 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.