Wasmtime: Stiller Überlauf und Fehlübersetzung im Cranelift-Compiler

Zusammenfassung

Das Cranelift-Compiler-Backend von Wasmtime kann beim Kompilieren einer sehr grossen oder speziell präparierten WebAssembly-Funktion in Release-Builds die Bit-Packung der SSA-Wertindizes stillschweigend überlaufen lassen. Dies kann zu falsch übersetztem Code, Type Confusion und weiteren vom Angreifer gesteuerten Effekten führen, die die WebAssembly-Sandbox verlassen können. Der Angreifer benötigt Zugriff mit niedrigen Berechtigungen, etwa die Möglichkeit, ein Wasm-Modul einzureichen, und die Schwachstelle betrifft das Standard-Backend Cranelift auf allen Architekturen.

Betroffen

• Wasmtime-Versionen vor 36.0.19
• Wasmtime-Versionen ab 37.0.0 bis vor 43.0.0

Behoben in

• Upgrade auf 36.0.19 (36.x-Linie)
• Upgrade auf 43.0.0 oder neuer (43.x-Linie und neuer)

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar. Das Upgrade ist die vom Hersteller genannte Lösung.

Ausnutzung

• CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in freier Wildbahn bis 24. Oktober 2026 (Drittquelle)

Unsere Empfehlung

• Alle Systeme erfassen, auf denen Wasmtime direkt oder über eingebettete Produkte läuft, z. B. Plugin-Laufzeitumgebungen
• Auf 36.0.19 oder 43.0.0 oder neuer aktualisieren; 37.x bis 42.x sind betroffen
• Internetseitige Dienste priorisieren, die nicht vertrauenswürdige oder benutzerseitige Wasm-Module akzeptieren
• Herstellerhinweise zu aktualisierten Abhängigkeiten prüfen und KEV sowie den GitHub-Advisory auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ideator-labs/wasmtime-sweep

Quellen der Recherche

• GitHub Security Advisory GHSA-897f-g5gm-fmxm github.com
• GitHub Advisory Database GHSA-897f-g5gm-fmxm github.com
• Wasmtime release 36.0.19 github.com
• Wasmtime release 43.0.0 github.com
• Wasmtime commit ba8f7d7 (ValueDataPacked fix) github.com
• RustSec RUSTSEC-2026-0380 rustsec.org
• GitLab Advisory Database CVE-2026-115889 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:55.