CVE-2026-34987

Błąd tkwi w nieprawidłowym założeniu kompilatora Winch dotyczącym 32-bitowych przesunięć pamięci przechowywanych w 64-bitowych rejestrach — górne bity rejestru mogą nie zostać wyczyszczone, co kompilator błędnie zakłada. Powoduje to, że odpowiednio skonstruowany gość Wasm może odczytywać lub zapisywać pamięć przed początkiem regionu liniowego (do 32 KiB) lub po jego końcu (do ~4 GiB), niezależnie od skonfigurowanych regionów ochronnych (guard regions). Problem dotyczy architektur aarch64 (potwierdzony działający proof-of-concept) oraz x86-64 (przypadek teoretyczny). Podatność jest możliwa wyłącznie przy użyciu niedomyślnego backendu Winch (flaga -Ccompiler=winch); domyślny backend Cranelift nie jest dotknięty.

Atakujący kontrolujący moduł WebAssembly uruchamiany z backendem Winch może spowodować awarię procesu hosta (DoS poprzez naruszenie ochrony pamięci), wykraść dowolne dane z jego przestrzeni adresowej lub — przy operacji zapisu — potencjalnie uzyskać zdalne wykonanie kodu (RCE) w kontekście procesu hosta.

Należy zaktualizować Wasmtime do wersji 36.0.7, 42.0.2 lub 43.0.1. Jeśli natychmiastowa aktualizacja nie jest możliwa, jako obejście należy zaprzestać używania backendu Winch i korzystać z domyślnego backendu Cranelift. Szczegóły dostępne w repozytorium producenta: https://github.com/bytecodealliance/wasmtime/security/advisories/GHSA-xx5w-cvp6-jv83

Bytecodealliance Wasmtime w wersjach od 25.0.0 do przed 36.0.7, od 42.0.0 do przed 42.0.2 oraz od 43.0.0 do przed 43.0.1, wyłącznie przy aktywnym backendzie Winch (-Ccompiler=winch). Domyślna konfiguracja z backendem Cranelift nie jest podatna.

Dla architektury aarch64 istnieje potwierdzony działający proof-of-concept opisany w oryginalnym opisie podatności. Przypadek x86-64 pozostaje teoretyczny i może być nieosiągalny w praktyce. Podatność dotyczy wyłącznie niedomyślnej, eksperymentalnej konfiguracji z backendem Winch.