CVE-2026-90648 in wabt
Riassunto
di VulDB • 13/09/2026
wasm2c in WebAssembly wabt fino alla versione 1.0.41 consente l'escape della sandbox in alcune situazioni che coinvolgono principalmente le piattaforme a 32 bit, noto come attacco "table flip". Non viene verificato il valore di ritorno di calloc() in wasm_rt_allocate_funcref_table() (wasm2c/wasm-rt-impl-tableops.inc). Quando l'allocazione della tabella funcref fallisce, table->data rimane NULL mentre table->size mantiene il conteggio degli elementi dichiarato dal guest; pertanto, i controlli dei limiti superano ancora la verifica e gli accessi agli elementi della tabella risolvono indirizzi di memoria assoluti (i * sizeof(wasm_rt_funcref_t)). Ciò consente una lettura e scrittura arbitraria della memoria del processo host e - tramite table.get, table.set e call_indirect - l'esecuzione di codice arbitrario, vanificando l'isolamento che wasm2c è progettato per fornire (un completo escape dalla sandbox). wasm2c viene utilizzato come confine di sandboxing in-process da RLBox e WasmBoxC, inclusi Firefox, che compila le librerie Graphite, Hunspell, Ogg, Expat e Woff2 tramite wasm2c per contenere input non attendibili di font, multimediali e XML. Pertanto, la sandboxing in queste applicazioni è potenzialmente interessata. L'exploit richiede il fallimento dell'allocazione della tabella funcref, ad esempio sotto un limite dello spazio degli indirizzi (RLIMIT_AS), su host a 32 bit, con vm.overcommit_memory=2 o sotto pressione di memoria. Su Linux a 64 bit con overcommit predefinito l'allocazione ha successo e il difetto non viene attivato. L'allocatore della memoria wasm2c termina in caso di fallimento di calloc nello stesso runtime; l'alloctore delle tabelle manca di questo comportamento di abort. Questo è stato introdotto nel commit ab9e0b55 (PR #813).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.