CVE-2026-90648 in wabt
Résumé
par VulDB • 13/09/2026
wasm2c dans WebAssembly wabt jusqu'à la version 1.0.41 permet une évasion de sandbox dans certaines situations impliquant principalement les plateformes 32 bits, également appelée attaque « table flip ». Il ne vérifie pas la valeur de retour de calloc() dans wasm_rt_allocate_funcref_table() (wasm2c/wasm-rt-impl-tableops.inc). Lorsque l'allocation de la table funcref échoue, table->data reste NULL tandis que table->size conserve le nombre d'éléments déclaré par l'hôte ; ainsi, les vérifications des limites passent toujours et les accès aux éléments de la table se résolvent en adresses mémoire absolues (i * sizeof(wasm_rt_funcref_t)). Cela permet une lecture et une écriture arbitraires de la mémoire du processus hôte et, via table.get, table.set et call_indirect, l'exécution de code arbitraire, contournant l'isolation que wasm2c est censé fournir (une évasion complète de sandbox). wasm2c est utilisé comme limite de sandboxing in-process par RLBox et WasmBoxC, y compris dans Firefox, qui compile les bibliothèques Graphite, Hunspell, Ogg, Expat et Woff2 via wasm2c pour contenir des entrées non fiables de polices, multimédias et XML. Par conséquent, le sandboxing dans ces applications est potentiellement affecté. L'exploitation nécessite que l'allocation de la table funcref échoue, par exemple sous une limite d'espace d'adressage (RLIMIT_AS), sur des hôtes 32 bits, avec vm.overcommit_memory=2, ou sous pression mémoire. Sur Linux 64 bits avec un overcommit par défaut, l'allocation réussit et le défaut n'est pas déclenché. L'allocateur de mémoire wasm2c interrompt (abort) en cas d'échec de calloc dans le même runtime ; l'allocateur de table manque ce comportement d'interruption. Cela a été introduit dans le commit ab9e0b55 (PR #813).
If you want to get best quality of vulnerability data, you may have to visit VulDB.