Wasmtime: Ausbruch aus Dateisystem-Sandbox über Symlinks mit Schrägstrich
Zusammenfassung
Die Komponente wasmtime-wasi von Wasmtime gewährt WebAssembly-Gästen Zugriff auf Host-Dateien. Ein Fehler in der Abhängigkeit cap-std erlaubt Gästen, die Dateisystem-Sandbox zu verlassen, wenn Symlinks oder Pfade abschliessende Schrägstriche enthalten. Ein Gast mit Schreibzugriff auf ein Sandbox-Verzeichnis kann beliebige, vom Host zugängliche Dateien lesen und schreiben, und ein Gast mit Lesezugriff kann Host-Dateien über vorhandene Symlinks lesen. Betroffen sind macOS und Linux-Kernel ohne openat2; der CVSS-4.0-Basiswert liegt bei 8.8.
Betroffen
- Wasmtime vor 24.0.13
- Wasmtime 25.0.0 bis vor 36.0.14
- Wasmtime 37.0.0 bis vor 46.0.3
- Wasmtime 47.0.0 bis vor 47.0.4
Behoben in
- 24.0.13 (durch Release Notes des Herstellers bestätigt)
- 36.0.14 und 46.0.3 (durch Release Notes des Herstellers bestätigt)
- 47.0.4 (wahrscheinlich, noch nicht gegen das Advisory des Herstellers verifiziert)
- 25.x-Linie: keine Korrektur identifiziert, Status unbekannt
- Neuere verwandte Korrektur: 36.0.18 behebt zusätzlich GHSA-q554-3cjc-rx7p (Umbenennen von Symlinks mit abschliessenden Schrägstrichen)
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Bis zum Patch WASI-Dateisystem-Preopens auf das Notwendige beschränken.
- Untrusted Gast-Code mit Schreibzugriff auf gemeinsam genutzte Verzeichnisse vermeiden.
- Vorab geöffnete Verzeichnisse auf Symlinks prüfen, die aus ihnen hinausführen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Systeme und Software identifizieren, die Wasmtime einbetten, etwa über Cargo.lock-Dateien oder Produkte von Drittanbietern mit Plugin-Systemen.
- Auf die neueste Patch-Version der eigenen Linie aktualisieren (mindestens auf die oben genannten korrigierten Versionen), nicht nur auf die minimale Version.
- Bei Software von Drittanbietern nach einer gepatchten Version fragen, falls Wasmtime darin eingebettet ist.
- Systeme priorisieren, auf denen untrusted WASM-Plugins oder Multi-Tenant-Code laufen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vqjp-4c8c-hfgg github.com
- VulnCheck advisory www.vulncheck.com
- Ubuntu security notice CVE-2026-115392 ubuntu.com
- OSV CVE-2026-115392 osv.dev
- OSV RUSTSEC-2026-0269 osv.dev
- Wasmtime release 24.0.13 github.com
- Wasmtime release 46.0.3 github.com
- Wasmtime release 36.0.18 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.