CVE-2026-34971

Wasmtime è un runtime per WebAssembly. Dalla versione 32.0.0 fino a prima di 36.0.7, 42.0.2 e 43.0.1, il backend di compilazione Cranelift di Wasmtime contiene un bug su aarch64 quando esegue un certo tipo di accessi allo heap, che porta all'accesso a indirizzi errati. Quando combinato con controlli espliciti dei limiti su un modulo WebAssembly guest, ciò può creare una situazione in cui ci sono due computazioni divergenti per lo stesso indirizzo: una per il controllo dei limiti e una per il caricamento. Questa differenza nell'indirizzo su cui si opera significa che un modulo guest può superare un controllo dei limiti ma poi caricare un indirizzo diverso. Combinando questi aspetti, si abilita un primitive di lettura/scrittura arbitraria per WebAssembly guest quando si accede alla memoria host. Questa è una fuga dal sandbox poiché i guest sono in grado di leggere/scrivere memoria host arbitraria. Questa vulnerabilità presenta alcuni elementi necessari, tutti devono essere presenti affinché si verifichi questa situazione e si possa bypassare la restrizione del sandbox. Questa forma di caricamento mal compilata si verifica solo su memorie lineari WebAssembly a 64-bit, o quando è abilitato Config::wasm_memory64. WebAssembly a 32-bit non è interessato. Le mitigazioni Spectre o i segnali di trap devono essere disabilitati. Quando le mitigazioni Spectre sono attivate, la forma di caricamento incriminata non viene generata. Quando i segnali di trap sono disabilitati, le mitigazioni Spectre vengono automaticamente disabilitate. Il bug specifico in Cranelift è una mal compilazione di un'istruzione di caricamento della forma load(iadd(base, ishl(index, amt))) dove amt è una costante. Il valore di amt viene mascherato in modo errato per verificare se è un certo valore, e questa maschera errata fa sì che Cranelift possa erroneamente riconoscere questa regola di abbassamento durante la selezione delle istruzioni, divergendosi dal significato di WebAssembly e di Cranelift. Questo abbassamento errato potrebbe, ad esempio, caricare un indirizzo molto più lontano di quello previsto, poiché il calcolo dell'indirizzo corretto si sarebbe avvolto a un valore più piccolo. Questa vulnerabilità è stata corretta in 36.0.7, 42.0.2 e 43.0.1.