Il sandbox di Wasmtime può cedere anche nei prodotti di terzi
Wasmtime ha corretto due falle critiche in Cranelift che possono consentire a moduli WebAssembly controllati da un attaccante di uscire dal sandbox: una riguarda tutte le architetture, l’altra solo ARM64. I manutentori non hanno segnalato attacchi. Il rischio riguarda anche software che incorpora Wasmtime, non soltanto le installazioni autonome.
Cranelift traduce i moduli in codice macchina; le falle permettono a un modulo preparato ad hoc di superare i controlli che dovrebbero confinarne l’esecuzione. Il codice può così oltrepassare il sandbox e raggiungere l’ambiente host, anche se gli advisory non precisano quali risorse diventerebbero accessibili.
Le correzioni sono nelle versioni 36.0.19, 48.0.7 e 49.0.4; la 50.0.0 corregge entrambe le falle. Le build ARM6436.0.7, 42.0.2 e 43.0.1, già corrette per una precedente fuga dal sandbox, restano esposte alla seconda. Nei servizi che eseguono WebAssembly fornito da clienti o terzi, Wasmtime può essere nascosto in una dipendenza incorporata e sfuggire all’inventario delle installazioni autonome.