CVE-2026-54786

Nome do Software Vulnerável e Versões Afetadas Wasmtime versões anteriores a 24.0.10 Wasmtime versões 25.0.0 até 36.0.10 Wasmtime versões 37.0.0 até 44.0.2 Wasmtime versões 45.0.0 até 45.1

Description Existe um vazamento de recursos na implementação nativa do WASIp1 dentro da função fd renumber(). O problema ocorre porque o descritor de arquivo que está sendo renumerado não é fechado corretamente; a implementação atualiza a tabela de descritores do WASIp1, mas falha em atualizar a tabela de descritores subjacente do host. Consequentemente, embora a operação pareça correta para o guest, recursos são vazados no host e só são recuperados quando o Store correspondente é destruído. Um invasor pode chamar repetidamente a função fd renumber() em um loop para esgotar os recursos e os descritores de arquivo do host. Este problema afeta apenas runtimes que carregam módulos core WebAssembly, expõem a função fd renumber() e permitem a aquisição de descritores de arquivo, como por meio de operações de abertura de arquivos.

Recommendations Atualizar para a versão 24.0.10. Atualizar para a versão 36.0.11. Atualizar para a versão 44.0.3. Atualizar para a versão 45.0.2. Restringir a capacidade de adquirir descritores de arquivo, como negar o acesso a arquivos, para mitigar o risco.