p PatchFirst

CVE-2026-58494

CVE-2026-58494 · Wasmtime: WASI hard links bypass wasmtime-wasi's FilePerms for destination

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Wasmtime is a runtime for WebAssembly. Prior to 24.0.11, 36.0.12, 45.0.3, and 46.0.1, wasmtime-wasi hard-link creation and renaming check directory permissions but not matching FilePerms on source and destination preopens, allowing a WASI guest with a read-only source file capability to overwrite host files exposed as FilePerms::READ through wasip1, wasip2, or wasip3 filesystem interfaces. This issue is fixed in versions 24.0.11, 36.0.12, 45.0.3, and 46.0.1.

CVSS 6.5 · Mittel · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • wasmtime

    Softwareversionen
    • < 24.0.11: Betroffen
    • >= 25.0.0, < 36.0.12: Betroffen
    • >= 37.0.0, < 45.0.3: Betroffen
    • >= 46.0.0, < 46.0.1: Betroffen

    Keine Korrektur veröffentlicht

  • rust-wasmtime Debian:13

    Softwareversionen
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.11+dfsg-1
    • 36.0.12+dfsg-1
    • 36.0.12+dfsg-2
    • 36.0.12+dfsg-3
    • 36.0.13+dfsg-1
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    • 36.0.8+dfsg-1
    • 36.0.9+dfsg-1
    • 36.0.9+dfsg-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-wasmtime Debian:14

    Softwareversionen
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.11+dfsg-1
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    • 36.0.8+dfsg-1
    • 36.0.9+dfsg-1
    • 36.0.9+dfsg-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 36.0.12+dfsg-1

    Auf 36.0.12+dfsg-1 aktualisieren

  • rust-wasmtime Ubuntu:24.04:LTS

    Softwareversionen
    • 10.0.1+dfsg-7
    • 15.0.1+dfsg-4
    • 16.0.0+dfsg-2
    • 16.0.0+dfsg-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-wasmtime Ubuntu:25.10

    Softwareversionen
    • 26.0.1+dfsg-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-wasmtime Ubuntu:26.10

    Softwareversionen
    • 36.0.5+dfsg-1
    • 36.0.13+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-wasmtime Ubuntu:26.04:LTS

    Softwareversionen
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-5
    • 36.0.5+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →