PT-2025-41158 · Bytecode Alliance · Wasmtime

Alexcrichton

·

Publicado

2025-10-07

·

Atualizado

2025-10-07

·

CVE-2025-61670

CVSS v3.1

3.3

Baixa

VetorAV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
Nome do Software Vulnerável e Versões Afetadas Versões do Wasmtime 37.0.0 a 37.0.1
Descrição O Wasmtime, um runtime para WebAssembly, contém vazamentos de memória em sua API C/C++ ao utilizar bindings para valores WebAssembly anyref ou externref. Este problema decorre de uma regressão introduzida durante o desenvolvimento da versão 37.0.0, especificamente relacionada a uma refatoração de ManuallyRooted<T> para OwnedRooted<T> em Rust. As APIs C e C++ não foram totalmente atualizadas para refletir as novas semânticas de propriedade de OwnedRooted<T>, levando a vazamentos de memória. Especificamente, um erro de digitação na função wasmtime val unroot impediu o desenraizamento adequado, e funções definidas pelo host que retornam valores wasmtime {externref,anyref} t nunca tiveram suas raízes removidas. A API C++ carecia de destrutores em tipos relevantes, contribuindo ainda mais para o problema. Esses vazamentos ocorrem quando anyref ou externref são usados na API C/C++, e o crate Rust wasmtime não é afetado.
Recomendações Atualize para a versão 37.0.2 ou posterior do Wasmtime para corrigir os vazamentos de memória na API C/C++. Evite usar externref e anyref na API C/C++ do Wasmtime se a atualização não for imediatamente possível.

Exploit

Correção

Missing Release of Resource after Effective Lifetime

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2025-61670
GHSA-VVP9-H8P2-XWFC

Produtos afetados

Wasmtime