PT-2026-31689 · Bytecode Alliance · Wasmtime

Publicado 2026-04-09 · Atualizado 2026-04-09 · CVE-2026-34983

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions Wasmtime versões 43.0.0 através de 43.0.0

Description Wasmtime, um ambiente de execução para WebAssembly, contém uma falha onde a clonagem de um wasmtime::Linker pode levar a bugs de uso após liberação. Esta questão não é acionada por programas Wasm convidados, mas requer uma sequência específica de chamadas de API do incorporador host. A vulnerabilidade ocorre quando um wasmtime::Linker é clonado, a instância original é descartada e a instância clonada é usada subsequentemente. Isso pode resultar em um segfault. A questão foi introduzida durante uma refatoração interna relacionada ao tratamento robusto de falhas de alocação e um pool de strings com uma implementação TryClone insegura.

Recommendations Atualize para a versão 43.0.1 do Wasmtime. Como solução alternativa temporária, evite clonar wasmtime::Linker e, em vez disso, crie um novo wasmtime::Linker e registre manualmente as APIs do host do linker original.

Exploit

Correção

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

CVE-2026-34983

GHSA-HFR4-7C6C-48W2

PYSEC-2026-151

RUSTSEC-2026-0090

Produtos afetados

Wasmtime

Referências · 16

• 🔥 https://github.com/bytecodealliance/wasmtime/security/advisories/GHSA-hfr4-7c6c-48w2 · Exploit
• https://github.com/bytecodealliance/wasmtime · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/wasmtime/PYSEC-2026-151.yaml · Nota
• https://ubuntu.com/security/CVE-2026-34983 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-34983 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2042340842619253162 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hfr4-7c6c-48w2 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2026-0090 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-34983 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-151 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-34983 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2042340082833596594 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-34983 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2026-0090.html · Nota
• https://crates.io/crates/wasmtime · Nota