CVE-2026-115384
Wasmtime 39.0.0 before 48.0.4 and 49.0.0 before 49.0.2 Stack Buffer Overflow
CVSS 3.1Critical
9.4/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 48.0.4, 49.0.2
Обновить Wasmtime до версий 48.0.4, 49.0.2 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Переполнение буфера стека в Wasmtime при обработке асинхронных колбэков. Дает гостевой среде WebAssembly возможность перезаписи нативного стека хоста.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Отсутствие валидации типов результатов асинхронных колбэков в рантайме. Вредоносный Wasm-гость с некорректно типизированными функциями component-model-async записывает до 16 КБ произвольных данных в нативный стек хост-процесса.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Перезапись адресов возврата в стеке, аварийное завершение процесса хоста (DoS) либо побег из Wasm-песочницы с выполнением кода на уровне хоста.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
bytecodealliancewasmtime
>= 39.0.0➔Fix: 48.0.4
bytecodealliancewasmtime
>= 49.0.0➔Fix: 49.0.2
——
>= 39.0.0➔Fix: 48.0.4
——
>= 49.0.0➔Fix: 49.0.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-115384: Wasmtime 39.0.0 before 48.0.4 and 49.0.0 before 49.0.2 Stack Buffer Overflow. URL: https://cve.futuretools.ru/cve/CVE-2026-115384
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_115384,
title = {{CVE-2026-115384: Wasmtime 39.0.0 before 48.0.4 and 49.0.0 before 49.0.2 Stack Buffer Overflow}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115384}},
note = {Оперативный инженерный анализ киберугроз}
}