CVE-2025-64345
Açıklama
Wasmtime, WebAssembly için bir çalışma zamanıdır. 38.0.4, 37.0.3, 36.0.3 ve 24.0.5 sürümlerinden önce, Wasmtime'ın Rust embedder API'si, bir WebAssembly paylaşılan doğrusal belleğinin, ana bilgisayara (Rust) doğrusal belleğin içeriğine güvenli erişim sağlayan bir tür olarak görüntülenebildiği güvensiz bir etkileşim içermektedir. Paralel olarak değiştirilebilen paylaşılan doğrusal bellekler için bu durum güvenli değildir ve ana bilgisayarda bir veri yarışına (data race) yol açabilir. Wasmtime'ın desteklenen tüm sürümleri için, özellikle 24.0.5, 36.0.3, 37.0.3 ve 38.0.4 sürümleri için yama yayınları yapılmıştır. Bu sürümler, `Memory::new` aracılığıyla paylaşılan belleklerin oluşturulmasını reddeder ve paylaşılan bellekler artık core dump'lardan hariç tutulur. Bir geçici çözüm olarak, bu sorundan etkilenen gömmeler, paylaşılan bellekleri oluşturmak için `Memory::new` yerine `SharedMemory::new` kullanmalıdır. Etkilenen gömmeler, yükseltme yapamadıkları takdirde core dump'ları da devre dışı bırakmalıdır. Core dump'ların varsayılan olarak devre dışı olduğu ancak wasm threads önerisinin (ve paylaşılan belleğin) varsayılan olarak etkin olduğu unutulmamalıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bytecodealliance wasmtime | >= 38.0.1, < 38.0.4, >= 37.0.0, < 37.0.3, >= 26.0.0, < 36.0.3, < 24.0.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.