CVE-2026-47218

Nome do Software Vulnerável e Versões Afetadas runwasi versões anteriores a 0.6.1

Descrição No containerd-shim-wasmtime-v1, bytes pré-compilados do Wasmtime fornecidos em uma camada de imagem OCI podem ser incorretamente tratados como artefatos confiáveis do caminho precompile-cache e desserializados como código nativo. Isso permite que um invasor ignore a validação do WebAssembly usando uma imagem manipulada, levando à execução de código nativo no processo shim zygote. Isso resulta em acesso não autorizado ao sistema de arquivos, ambiente, credenciais, rede e chamadas de sistema Linux disponíveis para o contêiner de carga de trabalho. O problema permite a evasão do sandbox WASI para o limite do contêiner de carga de trabalho, embora não ignore o isolamento do contêiner nem forneça execução direta de código no host. Shims downstream que utilizam a API precompile-cache do containerd-shim-wasm e confiam em artefatos pré-compilados executáveis de camadas de imagem OCI também são afetados.

Recomendações Atualize o runwasi para a versão 0.6.1.