CVE-2025-64345 in wasmtime
Tóm tắt
Bởi VulDB • 10/05/2026
Wasmtime là một môi trường chạy (runtime) cho WebAssembly. Trước các phiên bản 38.0.4, 37.0.3, 36.0.3 và 24.0.5, API embedder Rust của Wasmtime chứa một tương tác không an toàn (unsound interaction), trong đó bộ nhớ tuyến tính chia sẻ (shared linear memory) của WebAssembly có thể được xem như một kiểu dữ liệu cung cấp quyền truy cập an toàn cho host (Rust) vào nội dung của bộ nhớ tuyến tính. Điều này không an toàn đối với các bộ nhớ tuyến tính chia sẻ, vì chúng có thể bị sửa đổi song song, và điều này có thể dẫn đến race condition (điều kiện tranh chấp) trên host. Các bản phát hành vá đã được phát hành cho tất cả các phiên bản được hỗ trợ của Wasmtime, đáng chú ý là: 24.0.5, 36.0.3, 37.0.3 và 38.0.4. Các bản phát hành này từ chối việc tạo bộ nhớ chia sẻ thông qua `Memory::new` và bộ nhớ chia sẻ hiện đã bị loại trừ khỏi các bản dump lõi (core dumps). Để khắc phục tạm thời, các embedder bị ảnh hưởng bởi vấn đề này nên sử dụng `SharedMemory::new` thay vì `Memory::new` để tạo bộ nhớ chia sẻ. Các embedder bị ảnh hưởng cũng nên tắt các bản dump lõi nếu không thể nâng cấp. Lưu ý rằng các bản dump lõi bị tắt theo mặc định, nhưng đề xuất về luồng wasm (wasm threads proposal) (và bộ nhớ chia sẻ) được bật theo mặc định.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.