CVE-2026-90648 in wabt
Sumário
de VulDB • 13/09/2026
O módulo wasm2c do WebAssembly wabt, nas versões até 1.0.41, permite a fuga da sandbox em algumas situações que envolvem principalmente plataformas de 32 bits, conhecido como ataque "table flip". O código não verifica o valor de retorno de calloc() na função wasm_rt_allocate_funcref_table() (wasm2c/wasm-rt-impl-tableops.inc). Quando a alocação da tabela funcref falha, table->data permanece NULL enquanto table->size mantém a contagem de elementos declarada pelo convidado; assim, as verificações de limites ainda são bem-sucedidas e os acessos aos elementos da tabela resolvem-se para endereços de memória absolutos (i * sizeof(wasm_rt_funcref_t)). Isso permite leitura e escrita arbitrárias na memória do processo host e, por meio das operações table.get, table.set e call_indirect, execução arbitrária de código, violando o isolamento que o wasm2c foi projetado para fornecer (uma fuga completa da sandbox). O wasm2c é utilizado como uma fronteira de sandboxing em processo pelo RLBox e WasmBoxC, incluindo no Firefox, que compila as bibliotecas Graphite, Hunspell, Ogg, Expat e Woff2 via wasm2c para conter entradas não confiáveis de fontes, mídia e XML. Portanto, o mecanismo de sandbox nessas aplicações pode ser afetado. A exploração requer a falha na alocação da tabela funcref, por exemplo, sob um limite de espaço endereçável (RLIMIT_AS), em hosts de 32 bits, com vm.overcommit_memory=2 ou sob pressão de memória. Em sistemas Linux de 64 bits com overcommit padrão, a alocação tem sucesso e o defeito não é acionado. O alocador de memória do wasm2c aborta na falha de calloc no mesmo runtime; já o alocador de tabelas carece desse comportamento de aborto. Isso foi introduzido no commit ab9e0b55 (PR #813).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.