p PatchFirst

CVE-2026-44216

CVE-2026-44216 · Wasmtime: Panic when allocating a table exceeding the size of the host's address space

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Wasmtime is a runtime for WebAssembly. From 30.0.0 to 36.0.8, 43.0.2, and 44.0.1, Wasmtime's allocation logic for a WebAssembly table contained checked arithmetic which panicked on overflow. This overflow is possible to trigger, and thus panic, when a table with an extremely large size is allocated. This is possible with the WebAssembly memory64 proposal where tables can have sizes in the 64-bit range as opposed to the previous 32-bit range which would not overflow. The panic happens when attempting to create a very large table, such as when instantiating a WebAssembly module or component. This vulnerability is fixed in 36.0.8, 43.0.2, and 44.0.1.

CVSS 5.9 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • wasmtime

    Versiones
    • >= 30.0.0, < 36.0.8: Afectada
    • >= 37.0.0, < 43.0.2: Afectada
    • 44.0.0: Afectada

    Sin corrección publicada

  • rust-wasmtime Debian:13

    Versiones
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.11+dfsg-1
    • 36.0.12+dfsg-1
    • 36.0.12+dfsg-2
    • 36.0.12+dfsg-3
    • 36.0.13+dfsg-1
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    • 36.0.8+dfsg-1
    • 36.0.9+dfsg-1
    • 36.0.9+dfsg-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • rust-wasmtime Debian:14

    Versiones
    • 26.0.1+dfsg-10
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 26.0.1+dfsg-5
    • 26.0.1+dfsg-6
    • 26.0.1+dfsg-7
    • 26.0.1+dfsg-8
    • 26.0.1+dfsg-9
    • 27.0.0+dfsg-2
    • 27.0.0+dfsg-3
    • 27.0.0+dfsg-4
    • 28.0.1+dfsg-1
    • 28.0.1+dfsg-2
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-1
    • 29.0.1+dfsg-2
    • 29.0.1+dfsg-3
    • 29.0.1+dfsg-4
    • 29.0.1+dfsg-5
    • 29.0.1+dfsg-6
    • 29.0.1+dfsg-7
    • 29.0.1+dfsg-8
    • 36.0.5+dfsg-1
    • 36.0.5+dfsg-2
    • 36.0.5+dfsg-3
    • 36.0.5+dfsg-4
    • 36.0.5+dfsg-5
    • 36.0.6+dfsg-1
    • 36.0.6+dfsg-2
    • 36.0.6+dfsg-3
    • 36.0.6+dfsg-4
    • 36.0.6+dfsg-5
    • 36.0.6+dfsg-6
    • 36.0.6+dfsg-7
    • 36.0.7+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 36.0.8+dfsg-1

    Actualiza a 36.0.8+dfsg-1

  • rust-wasmtime Ubuntu:24.04:LTS

    Versiones
    • 10.0.1+dfsg-7
    • 15.0.1+dfsg-4
    • 16.0.0+dfsg-2
    • 16.0.0+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • rust-wasmtime Ubuntu:25.10

    Versiones
    • 26.0.1+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • rust-wasmtime Ubuntu:26.10

    Versiones
    • 36.0.5+dfsg-1
    • 36.0.13+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • rust-wasmtime Ubuntu:26.04:LTS

    Versiones
    • 26.0.1+dfsg-3
    • 26.0.1+dfsg-4
    • 28.0.1+dfsg-3
    • 29.0.1+dfsg-5
    • 36.0.5+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →