CVE-2025-64345 in wasmtime
Sumário
de VulDB • 25/05/2026
Wasmtime é um runtime para WebAssembly. Antes das versões 38.0.4, 37.0.3, 36.0.3 e 24.0.5, a API de incorporação (embedder API) em Rust do Wasmtime contém uma interação não segura (unsound) em que uma memória linear compartilhada da WebAssembly poderia ser vista como um tipo que fornece acesso seguro ao host (Rust) aos conteúdos da memória linear. Isso não é seguro para memórias lineares compartilhadas, que podem ser modificadas em paralelo, o que poderia levar a uma data race no host. Versões de correção foram emitidas para todas as versões suportadas do Wasmtime, notavelmente: 24.0.5, 36.0.3, 37.0.3 e 38.0.4. Essas versões rejeitam a criação de memórias compartilhadas via `Memory::new` e as memórias compartilhadas agora estão excluídas dos core dumps. Como solução alternativa, as incorporações afetadas por este problema devem usar `SharedMemory::new` em vez de `Memory::new` para criar memórias compartilhadas. As incorporações afetadas também devem desativar os core dumps se não puderem fazer o upgrade. Observe que os core dumps estão desativados por padrão, mas a proposta de threads da WebAssembly (e memória compartilhada) está habilitada por padrão.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.