JVNDB-2026-022305

Bytecode Allianceのwasmtimeにおける複数の脆弱性

WasmtimeはWebAssemblyのランタイムです。バージョン24.0.10以前、25.0.0から36.0.11未満のバージョン、37.0.0から44.0.3未満のバージョン、およびバージョン45.0.0と45.0.1には、fd_renumber関数でリネームされるファイルディスクリプタが適切にクローズされないリークを引き起こすWASIのネイティブ実装が含まれていました。Wasmtimeの実装は誤ってWASIのディスクリプタテーブルのみを更新し、ホストが使用する基底のディスクリプタテーブルを更新していませんでした。この挙動により、fd_renumberはゲスト側から見ると正常に動作しますが、対応するStoreが破棄されるまでホスト側のリソースが解放されず、リークが発生します。ループ内でゲストはfd_renumberを使い、ホストのリソースおよびファイルディスクリプタを枯渇させることが可能です。このバグはWASIのネイティブ実装のみが影響を受けるため、コアwasmモジュールをロードしfd_renumberを公開するランタイムのみが影響を受けます。さらに、ファイルを開くなどファイルディスクリプタを取得する機能を公開している場合に限り影響があります。ファイルアクセスを拒否するランタイムには影響がありません。この問題はバージョン24.0.10、36.0.11、44.0.3、および45.0.2で修正されました。

Bytecode Alliance

• wasmtime 24.0.10 未満
• wasmtime 25.0.0 以上 36.0.11 未満
• wasmtime 37.0.0 以上 44.0.3 未満
• wasmtime 45.0.0 以上 45.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Leak in WASIp1 `fd_renumber` implementation  Advisory  bytecodealliance/wasmtime  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 有効なライフタイム後のリソースの解放の欠如(CWE-772) [その他]

1. CVE-2026-54786

1. National Vulnerability Database (NVD) : CVE-2026-54786

• [2026年07月06日]
    掲載