Wasmtime wasi: Sandbox-Ausbruch über Symlink-Umbenennung auf macOS und FreeBSD
Zusammenfassung
Die Komponente wasmtime-wasi von Wasmtime hängt beim Umbenennen von Pfaden einen abschliessenden Schrägstrich an. Auf macOS- und FreeBSD-Hosts folgt renameat dadurch Symlinks auf Verzeichnisse, sodass ein Gast mit Schreibrechten in seiner Sandbox Host-Verzeichnisse in die Sandbox verschieben und deren Inhalt lesen oder schreiben kann. Linux- und Windows-Hosts sind laut Hersteller nicht betroffen. Voraussetzung ist, dass der Angreifer ein Gastmodul kontrolliert, das mit Schreibrechten in der Sandbox läuft.
Betroffen
- Wasmtime vor 36.0.18
- Wasmtime 37.0.0 vor 48.0.6
- Wasmtime 49.0.0 vor 49.0.3
- Laut Herstellerhinweis sind nur macOS- und FreeBSD-Hosts betroffen
Behoben in
- Wasmtime 36.0.18
- Wasmtime 48.0.6
- Wasmtime 49.0.3
- Unbekannt, ob für die 37.x-Linie eine Korrektur existiert.
Umgehung
Unbekannt. Der Hersteller nennt keine bekannte Umgehungslösung; ein Update ist die empfohlene Massnahme.
Ausnutzung
- In der Herstellerwarnung mit einem Proof-of-Concept-Ansatz beschrieben; der Hersteller bezeichnet es als vollständigen Filesystem-Sandbox-Ausbruch.
- Bis 31. Oktober 2026 wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- EPSS: 0.24 % (Perzentil 15).
Unsere Empfehlung
- Auf macOS- und FreeBSD-Hosten auf Wasmtime 36.0.18, 48.0.6 oder 49.0.3 (oder spätere Patch-Versionen) aktualisieren.
- Systeme identifizieren, auf denen nicht vertrauenswürdige WebAssembly-Module auf diesen Plattformen laufen, und diese priorisieren.
- Prüfen, ob Wasmtime-basierte Anwendungen eine ältere wasmtime-wasi-Version enthalten, und diese aktualisieren.
- Herstellerveröffentlichungen für weitere Informationen beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m9f7-9w4p-gv38 github.com
- VulnCheck advisory www.vulncheck.com
- Wasmtime release 36.0.18 github.com
- Wasmtime releases github.com
- Wasmtime security overview github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.