Vulnérabilité dans wasmtime-wasi (CVE-2026-54786)
Résumé
Vulnérabilité dans wasmtime-wasi (CVE-2026-54786). Risque d'opérations non autorisées ou de divulgation. Exploitable via fd_renumber. Atténuation : mise à jour vers 44.0.3 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Wasmtime is a runtime for WebAssembly. All versions prior to 24.0.10; versions 25.0.0 through those before 36.0.11; versions 37.0.0 through those before 44.0.3; and versions 45.0.0 and 45.0.1 contain a native implementation of WASIp1 which suffers from a leak in the fd_renumber function where the file descriptor being renumbered to is not properly closed. Wasmtime's implementation erroneously only updated the table of descriptors for WASIp1 and didn't update the underlying table of descriptors used by the host. This behavior means that while fd_renumber works correctly from a guest's perspective it ends up leaking resources in the host that aren't cleaned up until the corresponding Store is destroyed. In a loop, guests can use fd_renumber to cause hosts to exhaust both resources and file descriptors. This bug only affects the native implementation of WASIp1, meaning that only runtimes which load core wasm modules and expose fd_renumber are affected. Runtimes are additionally only affected if they expose the ability to acquire a file descriptor, such as opening a file. For runtimes that deny access to files they are unaffected. This issue has been fixed in versions 24.0.10, 36.0.11, 44.0.3, and 45.0.2.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54786 a été découverte dans wasmtime-wasi.
Des attaquants peuvent cibler un point d'entrée spécifique comme fd_renumber à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.0/10.
Action : mettez à jour wasmtime-wasi vers 44.0.3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « wasmtime-wasi CVE-2026-54786 » sur le site de l'éditeur.
CVE-2026-54786 (wasmtime-wasi) — CWE-400 / CVSS v3 5.0
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : fd_renumber / Store
Correctif : 44.0.3 — appliquer immédiatement
Contournement : There are no workarounds for this issue and hosts are recommended to update.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-400) affecte wasmtime-wasi. Les attaquants atteignent le code vulnérable via fd_renumber.
Consultez l'avis de l'éditeur pour les versions affectées de wasmtime-wasi. Surface d'attaque : fd_renumber / Store.
Gravité : Moyenne (CVSS 5.0/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 44.0.3.
Contournement : There are no workarounds for this issue and hosts are recommended to update.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'wasmtime-wasi' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
wasmtime-wasiを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
There are no workarounds for this issue and hosts are recommended to update.パッチが適用されるまでの応急処置として、There are no workarounds for this issue and hosts are recommended to update. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade wasmtime-wasi to 44.0.3ステージング環境で 44.0.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-54786 rust-wasmtime
- Ubuntu UBUNTU-CVE-2026-54786 rust-wasmtime
Références
- advisory github.com
- advisory nvd.nist.gov
- advisory rustsec.org
- advisory github.com
- package github.com
- package crates.io
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com