CVE-2025-43853

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات WAMR حتى الإصدار 2.2.0 بما في ذلك

WAMR المُجمَّع باستخدام libc-uvwasi في نظام Windows

الوصف:

تتعلق المشكلة بثغرة أمنية تتعلق بتتبع الروابط الرمزية (symlink) في WebAssembly Micro Runtime (WAMR). في WAMR الذي يعمل على نظام Windows، يؤدي إنشاء رابط رمزي يشير إلى خارج الدليل المفتوح مسبقًا، ثم فتحه باستخدام العلامة create، إلى إنشاء ملف على المضيف خارج منطقة الحماية. وإذا كان الرابط الرمزي يشير إلى ملف موجود على المضيف، فمن الممكن أيضًا فتحه وقراءة محتواه.

التوصيات:

بالنسبة لإصدارات WAMR حتى الإصدار 2.2.0 ضمناً، قم بالتحديث إلى الإصدار 2.3.0 لإصلاح المشكلة.

بالنسبة لـ WAMR المُجمَّع باستخدام libc-uvwasi في نظام Windows، قم بالتحديث إلى إصدار لا يستخدم libc-uvwasi أو قم بتطبيق تصحيح يعالج ثغرة تتبع الروابط الرمزية.

كحل مؤقت، ضع في اعتبارك تقييد استخدام العلامة create عند فتح الملفات لتقليل مخاطر الاستغلال.