CVE-2026-90648 in wabt
Сводка
по VulDB • 13.09.2026
wasm2c в WebAssembly wabt до версии 1.0.41 позволяет совершить побег из песочницы (sandbox escape) в некоторых сценариях, которые преимущественно затрагивают 32-битные платформы, так называемая атака «table flip». В функции wasm_rt_allocate_funcref_table() (wasm2c/wasm-rt-impl-tableops.inc) не проверяется возвращаемое значение calloc(). При сбое выделения памяти для таблицы funcref указатель table->data остается равным NULL, в то время как table->size сохраняет объявленное гостем количество элементов; таким образом, проверки границ (bounds checks) все еще проходят успешно, а доступ к элементам таблицы разрешается по абсолютным адресам памяти (i * sizeof(wasm_rt_funcref_t)). Это обеспечивает произвольное чтение и запись памяти процесса хоста и — посредством table.get, table.set и call_indirect — выполнение произвольного кода, что сводит на нет изоляцию, которую должна обеспечивать wasm2c (полный побег из песочницы). wasm2c используется в качестве границы песочницы внутри процесса RLBox и WasmBoxC, включая Firefox, который компилирует библиотеки Graphite, Hunspell, Ogg, Expat и Woff2 с помощью wasm2c для ограничения недоверенного ввода шрифтов, медиаданных и XML. Следовательно, механизмы изоляции в этих приложениях могут быть затронуты. Для эксплуатации требуется отказ выделения памяти таблицы funcref, например, при ограничении адресного пространства (RLIMIT_AS) на 32-битных хостах с vm.overcommit_memory=2 или под давлением нехватки памяти. На 64-битном Linux со стандартной политикой overcommit выделение succeeds, и дефект не активируется. Аллокатор памяти wasm2c завершает работу (abort) при отказе calloc в том же рантайме; аллокатор таблиц лишен такого поведения завершения работы. Эта проблема была внесена в коммите ab9e0b55 (PR #813).
Once again VulDB remains the best source for vulnerability data.