containerd runwasi: Codeausführung über gefälschte vorkompilierte Wasmtime-Layer in OCI-Image
Zusammenfassung
runwasi ist ein containerd-Projekt zum Ausführen von Wasm- und WASI-Workloads. Vor Version 0.6.1 behandelt containerd-shim-wasmtime-v1 vorkompilierte Wasmtime-Bytes, die in einem OCI-Image-Layer mitgeliefert werden, als vertrauenswürdig und deserialisiert sie als nativen Code, wobei die WebAssembly-Validierung umgangen wird. Ein Angreifer, der ein Opfer dazu bringt, ein manipuliertes Image auszuführen, kann nativen Code im Zygote-Prozess des Shims ausführen, mit den Zugriffen des Workload-Containers auf Dateisystem, Umgebung, Zugangsdaten, Netzwerk und Syscalls. Die Schwachstelle durchbricht für sich allein weder die Container-Isolation noch ermöglicht sie direkte Codeausführung auf dem Host.
Betroffen
- runwasi (containerd-shim-wasmtime) vor 0.6.1
- Nachgelagerte Shims, die auf der containerd-shim-wasm-Precompile-Cache-API aufbauen und vorkompilierten Artefakten aus OCI-Image-Layern vertrauen; deren Versionen sind unbekannt.
Behoben in
- containerd-shim-wasmtime 0.6.1
- Nachgelagerte Shims: Unbekannt, jeder Hersteller muss seine eigene Korrektur bestätigen.
Umgehung
- Unbekannt. In den Quellen wurde keine Workaround des Herstellers gefunden.
Ausnutzung
- Kein Nachweis einer Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob containerd-shim-wasmtime oder andere Wasm-Runtime-Handler installiert sind (containerd-Konfiguration und Binärdateien).
- Falls vorhanden, containerd-shim-wasmtime auf 0.6.1 oder neuer aktualisieren und nachgelagerte Shims mit dem Hersteller prüfen.
- Bis zur Korrektur nur Wasm-Images aus vertrauenswürdigen, kontrollierten Registries ausführen und einschränken, wer Images auf diesen Hosts bereitstellen darf.
- Falls keine Wasm-Runtime-Handler verwendet werden, ist über die Überwachung hinaus keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cc25-vq59-rcjx github.com
- runwasi commit d28ab73 (fix) github.com
- runwasi release containerd-shim-wasmtime v0.6.1 github.com
- OpenCVE CVE-2026-47218 app.opencve.io
- VulDB 420770 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.