PT-2026-4857 · Bytecode Alliance · Wasmtime

Louismerlin · Publicado 2026-01-01 · Atualizado 2026-02-12 · CVE-2026-24116

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Wasmtime versões anteriores a 36.0.5 Wasmtime versões 36.0.5 a 40.0.2 Wasmtime versões 40.0.3 a 41.0.0 Wasmtime versões 41.0.1

Descrição Uma falha no compilador Cranelift do Wasmtime pode levar a uma falha de segmentação no nível do host ao processar módulos WebAssembly maliciosos. Especificamente, a instrução WebAssembly f64.copysign, quando compilada com o Cranelift em plataformas x86-64 com AVX habilitado, pode carregar uma quantidade excessiva de dados da memória. Isso pode resultar em uma falha de segmentação não capturada se as armadilhas baseadas em sinais estiverem desabilitadas e as páginas de proteção estiverem habilitadas, potencialmente causando uma condição de negação de serviço. O problema surge de um tamanho incorreto de carga de memória durante a compilação, levando a um acesso fora dos limites. A vulnerabilidade não afeta a configuração padrão do Wasmtime, que tem as armadilhas baseadas em sinais habilitadas.

Recomendações Atualize para a versão 36.0.5 ou posterior do Wasmtime. Atualize para a versão 40.0.3 ou posterior do Wasmtime. Atualize para a versão 41.0.1 ou posterior do Wasmtime. Como solução alternativa, habilite as armadilhas baseadas em sinais.

Exploit

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

AZL-75533

AZL-75536

CVE-2026-24116

GHSA-VC8C-J3XM-XJ73

RUSTSEC-2026-0006

Produtos afetados

Wasmtime

Referências · 25

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24116.json · Exploit
• https://github.com/bytecodealliance/wasmtime · Nota
• https://github.com/bytecodealliance/wasmtime/commit/728fa07184f8da2a046f48ef9b61f869dce133a6 · Correção
• https://github.com/bytecodealliance/wasmtime/security/advisories/GHSA-vc8c-j3xm-xj73 · Aviso do Fabricante
• https://github.com/bytecodealliance/wasmtime/commit/799585fc362fcb991de147dd1a9f2ba0861ed440 · Correção
• https://github.com/bytecodealliance/wasmtime/commit/ac92d9bb729ad3a6d93f0724c4c33a0c4a9c0227 · Correção
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-24116 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2016235066498879622 · Publicação no Twitter
• https://docs.rs/wasmtime/latest/wasmtime/struct.Config.html#method.memory_guard_size · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-24116 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-24116 · Nota de Segurança
• https://rustsec.org/advisories/RUSTSEC-2026-0006.html · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-24116 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-24116 · Aviso do Fabricante
• https://crates.io/crates/wasmtime · Nota