JVNDB-2026-005166

Bytecode Allianceのwasmtimeにおける複数の脆弱性

WasmtimeはWebAssemblyのランタイムです。バージョン24.0.6、36.0.6、40.0.4、41.0.4、および42.0.0以前のWasmtimeのWASIホストインターフェースの実装には、ゲストが制御するホストのリソース枯渇の影響を受けやすい脆弱性があります。Wasmtimeはゲストから要求されたリソース割り当ての制限を適切に設定していませんでした。この問題はサービス拒否（DoS）攻撃のベクトルとなります。バージョン24.0.6、36.0.6、40.0.4、41.0.4、および42.0.0のWasmtimeには、この問題に対する修正が含まれているバージョンがリリースされています。これらのバージョンは既存の動作を壊さないため、デフォルト設定ではこの問題を防止しません。すべてのWasmtimeのバージョンには、この挙動を防止するための適切な設定があり、42.0.0以降のWasmtimeはこの問題が発生しないようにこれらの設定をデフォルトで調整しています。この問題を回避するための既知の対処法はアップグレード以外にありません。埋め込み先は潜在的に悪意のあるゲストによるこの問題の発生を防ぐために、アップグレードおよび必要に応じて埋め込み設定の調整を行うことが推奨されます。

Bytecode Alliance

• wasmtime 24.0.6 未満
• wasmtime 25.0.0 以上 36.0.6 未満
• wasmtime 37.0.0 以上 40.0.4 未満
• wasmtime 41.0.0 以上 41.0.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Guest-controlled resource exhaustion in WASI implementations  Advisory  bytecodealliance/wasmtime  GitHub
• Pull requests : Fix wasip1 memory leak by mbund  Pull Request #12599  bytecodealliance/wasmtime  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
3. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [NVD評価]
4. 制限またはスロットリング無しのファイル記述子またはハンドルの割り当て(CWE-774) [その他]
5. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-27204

1. National Vulnerability Database (NVD) : CVE-2026-27204
2. 関連文書 : ResourceTable in wasmtime::component - Rust
3. 関連文書 : Add configurable limit for max number of resource/waitable/etc. handles  Issue #11552  bytecodealliance/wasmtime
4. 関連文書 : Store in wasmtime - Rust
5. 関連文書 : What is considered a security bug? - Wasmtime
6. 関連文書 : WasiCtxBuilder in wasmtime_wasi - Rust

• [2026年02月27日]
    掲載