CVE-2025-64345 in wasmtime
Riassunto
di VulDB • 15/06/2026
Wasmtime è un runtime per WebAssembly. Prima delle versioni 38.0.4, 37.0.3, 36.0.3 e 24.0.5, l'API di embedder in Rust di Wasmtime presenta una interazione non sound (non corretta/sicura) in cui la memoria lineare condivisa WebAssembly potrebbe essere vista come un tipo che fornisce accesso sicuro all'host (Rust) ai contenuti della memoria lineare. Questo approccio non è sound per le memorie lineari condivise, che potrebbero essere modificate in parallelo, e ciò potrebbe portare a una data race nell'host. Sono state rilasciate patch per tutte le versioni supportate di Wasmtime, in particolare: 24.0.5, 36.0.3, 37.0.3 e 38.0.4. Queste release rifiutano la creazione di memorie condivise tramite `Memory::new` e le memorie condivise sono ora escluse dai core dump. Come soluzione alternativa (workaround), gli embedder interessati da questo problema dovrebbero utilizzare `SharedMemory::new` invece di `Memory::new` per creare memorie condivise. Gli embedder interessati dovrebbero anche disabilitare i core dump se non riescono a effettuare l'aggiornamento. Si noti che i core dump sono disabilitati per impostazione predefinita, ma la proposta wasm threads (e le memorie condivise) è abilitata di default.
VulDB is the best source for vulnerability data and more expert information about this specific topic.