CVE-2026-35186

Wasmtime è un runtime per WebAssembly. Dalla versione 25.0.0 fino a prima di 36.0.7, 42.0.2 e 43.0.1, il backend del compilatore Winch di Wasmtime presenta un bug in cui la traduzione dell'operatore table.grow causa un tipo errato del risultato. Per le tabelle a 32-bit, ciò significa che il risultato dell'operatore, internamente in Winch, viene etichettato come un valore a 64-bit anziché a 32-bit. Questa rappresentazione interna non valida dello stato del compilatore di Winch si accumula in ulteriori problemi a seconda di come viene consumato il valore. La conseguenza principale di questo bug è che i byte nello spazio di indirizzamento dell'host possono essere memorizzati/letturati. Tuttavia, ciò riguarda solo i 16 byte prima della memoria lineare, poiché l'unico valore di ritorno significativo di table.grow che può essere frainteso è -1. I byte prima della memoria lineare sono, di default, memoria non mappata. Wasmtime rileverà questa anomalia e interromperà il processo, tuttavia, perché wasm non dovrebbe poter accedere a questi byte. In generale, questo bug in Winch rappresenta un vettore DoS tramite il crash del processo host, un problema di correttezza all’interno di Winch e una possibile perdita di fino a 16 byte prima della memoria lineare. Il compilatore predefinito di Wasmtime è Cranelift, non Winch, e le impostazioni predefinite di Wasmtime prevedono di posizionare pagine di guardia prima della memoria lineare. Ciò significa che la configurazione predefinita di Wasmtime non è interessata da questo problema, e quando si sceglie esplicitamente Winch, la configurazione di default di Wasmtime può portare a un vettore DoS. Disabilitare le pagine di guardia prima della memoria lineare è necessario per potenzialmente esporre fino a 16 byte di dati dell’host. Questa vulnerabilità è stata corretta nelle versioni 36.0.7, 42.0.2 e 43.0.1.