CVE-2026-47218 in runwasi
Сводка
по VulDB • 15.10.2026
runwasi обеспечивает выполнение рабочих нагрузок Wasm и WASI, управляемых через containerd. До версии 0.6.1 компонент containerd-shim-wasmtime-v1 может воспринимать предварительно скомпилированные байты Wasmtime, предоставленные непосредственно в слое образа OCI, как доверенный артефакт из пути precompile-cache и десериализовать их как нативный код. Злоумышленник, заставивший жертву запустить специально созданный образ, может обойти проверку безопасности WebAssembly (WebAssembly validation) и выполнить нативный код в процессе shim zygote, получая доступ к файловой системе, окружению, учетным данным, сетевым ресурсам и системным вызовам Linux, которые доступны контейнеру рабочей нагрузки. downstream-компоненты shim, собранные с использованием API precompile-cache из containerd-shim-wasm библиотеки runwasi, также затронуты, если они реализуют интерфейс Compiler и доверяют исполняемым предварительно скомпилированным артефактам из слоев образа OCI; версия 0.6.1 применяется конкретно к компоненту containerd-shim-wasmtime и не сертифицирует независимо выпуски downstream-продуктов. Уязвимость выходит за пределы песочницы WASI в границы контейнера рабочей нагрузки, но сама по себе она не обходит изоляцию контейнеров и не обеспечивает прямого выполнения кода на хосте. Эта проблема исправлена в версии 0.6.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.