p PatchFirst

CVE-2026-115381

CVE-2026-115381 · Wasmtime before 36.0.17, 37.0.0 before 48.0.4, and 49.0.0 before 49.0.2 Unbounded Host Memory Allocation via SinkOutputStream write-zeroes

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Wasmtime before 36.0.17, 37.0.0 before 48.0.4, and 49.0.0 before 49.0.2 contains an unbounded memory allocation in the wasmtime-wasi WASIp2 write-zeroes method of SinkOutputStream, the default stream used when stdout/stderr are not configured. A malicious WebAssembly guest can request huge zero-filled writes, exhausting host memory and causing denial of service.

CVSS 5.9 · Средний · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • wasmtime

    Версии
    • ≥ 0, < 36.0.17: Затронуто (semver)
    • 36.0.17: Не затронуто (semver)
    • ≥ 37.0.0, < 48.0.4: Затронуто (semver)
    • 48.0.4: Не затронуто (semver)
    • ≥ 49.0.0, < 49.0.2: Затронуто (semver)
    • 49.0.2: Не затронуто (semver)

    Обновитесь до 36.0.17; Обновитесь до 48.0.4; Обновитесь до 49.0.2

  • rust-wasmtime Debian:13

    Версии
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.11+dfsg-1
    • 36.0.12+dfsg-1
    • 36.0.12+dfsg-2
    • 36.0.12+dfsg-3
    • 36.0.13+dfsg-1
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    • 36.0.8+dfsg-1
    • 36.0.9+dfsg-1
    • 36.0.9+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-wasmtime Debian:14

    Версии
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.11+dfsg-1
    • 36.0.12+dfsg-1
    • 36.0.12+dfsg-2
    • 36.0.12+dfsg-3
    • 36.0.13+dfsg-1
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    • 36.0.8+dfsg-1
    • 36.0.9+dfsg-1
    • 36.0.9+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-wasmtime Ubuntu:24.04:LTS

    Версии
    • 10.0.1+dfsg-7
    • 15.0.1+dfsg-4
    • 16.0.0+dfsg-2
    • 16.0.0+dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-wasmtime Ubuntu:26.10

    Версии
    • 36.0.5+dfsg-1
    • 36.0.13+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-wasmtime Ubuntu:26.04:LTS

    Версии
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-5
    • 36.0.5+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →