CVE-2026-47218

runwasi, containerd tərəfindən idarə olunan Wasm və WASI iş yüklərinin işlədilməsini təmin edir. 0.6.1 versiyasından əvvəl, containerd-shim-wasmtime-v1 birbaşa OCI imic layında təqdim edilən Wasmtime öncedən kompilyasiya edilmiş baytlarını precompile-cache yolundan gələn etibarlı artefakt kimi qəbul edə və onları yerli kod (native code) kimi deserializasiya edə bilər. Qurbanı xüsusi hazırlanmış imici işlətməyə sövq edən hücumçu, WebAssembly validasiyasını yan keçə və shim zygote prosesində yerli kodu icra edərək iş yükü konteynerinə məxsus fayl sistemi, mühit, etibarnamələr, şəbəkə və Linux syscall girişlərini əldə edə bilər. runwasi-nin containerd-shim-wasm precompile-cache API-si ilə qurulmuş aşağı axınlı (downstream) shim-lər də, əgər onlar Compiler-i tətbiq edirlərsə və OCI imic laylarından gələn icra oluna bilən öncedən kompilyasiya edilmiş artefaktlara etibar edirlərsə, bu problemdən təsirlənir; 0.6.1 sərhədi konkret olaraq containerd-shim-wasmtime-a şamil edilir və aşağı axınlı məhsul buraxılışlarını müstəqil şəkildə təsdiqləmir. Bu çatışmazlıq WASI qumcuğunu (sandbox) keçərək iş yükü konteyneri sərhədinə çıxır, lakin təkbaşına konteyner izolyasiyasını yan keçmir və ya birbaşa host kodunun icrasını təmin etmir. Bu problem 0.6.1 versiyasında düzəldilmişdir.