CVE-2022-39393
Publiée le 2022-11-10 · Dernière modification le 2026-06-17
Les environnements d'exécution Wasmtime antérieurs aux versions 2.0.2 et 1.0.2 sont affectés par une fuite de mémoire dans l'allocateur d'instances de pooling. Un attaquant distant et non authentifié peut exploiter cette faille pour lire des données sensibles provenant du cliché instantané (snapshot) du tas d'une instance précédente. Cette attaque est relativement facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Wasmtime is a standalone runtime for WebAssembly. Prior to versions 2.0.2 and 1.0.2, there is a bug in Wasmtime's implementation of its pooling instance allocator where when a linear memory is reused for another instance the initial heap snapshot of the prior instance can be visible, erroneously to the next instance. This bug has been patched and users should upgrade to Wasmtime 2.0.2 and 1.0.2. Other mitigations include disabling the pooling allocator and disabling the `memory-init-cow`.