Wasmtime: Zwei kritische Sandbox-Lücken erfordern Updates
Die Wasmtime-Maintainer haben am 19. und 20. Oktober Korrekturen für zwei kritische Schwachstellen veröffentlicht. Unter bestimmten Bedingungen kann ein von einem Angreifer kontrolliertes WebAssembly-Modul die Sandbox verlassen, die es eigentlich begrenzen soll. Das betrifft vor allem Dienste, die fremde Module kompilieren oder ausführen, nicht nur die direkte Nutzung des Wasmtime-Kommandozeilenprogramms.
Beide Fehler stecken in Cranelift, dem standardmäßig verwendeten Compiler von Wasmtime. CVE-2026-115889 betrifft alle Prozessorarchitekturen. CVE-2026-115893 ist dagegen auf ARM64 beziehungsweise aarch64 beschränkt. Die Maintainer bewerten beide Lücken mit 9,9 von 10 Punkten auf der CVSS-Skala.
Das Risiko ist besonders relevant für Plattformen, die Code anderer Nutzer kompilieren. Ein Angreifer muss zunächst ein verwundbares Wasmtime-Build vorfinden und ein von ihm kontrolliertes Modul einschleusen. Welche Ressourcen nach einem Sandbox-Ausbruch konkret erreichbar wären, nennen die Advisories allerdings nicht.
Für die noch unterstützten Release-Linien gibt es folgende korrigierte Versionen: 36.0.19, 48.0.7 und 49.0.4. Wasmtime 50.0.0, veröffentlicht am 20. Oktober, behebt beide Fehler. Systeme auf einer nicht mehr unterstützten Linie müssen auf eine dieser Versionen wechseln; die 24.x-LTS-Linie erhielt nach ihrem Support-Ende am 20. August 2026 keinen Fix.
Betreiber sollten außerdem prüfen, ob Wasmtime als Bibliothek in eine andere Anwendung eingebaut ist. In diesem Fall reicht ein Update des separaten Kommandozeilenwerkzeugs nicht aus: Die einbindende Anwendung muss mit einer korrigierten Wasmtime-Version neu gebaut werden. Für die betroffenen Advisories ist kein Workaround angegeben.
Bei ARM64-Systemen genügt es nicht, nur frühere Cranelift-Korrekturen zu berücksichtigen. Hosts mit Wasmtime 36.0.7, 42.0.2 oder 43.0.1 bleiben laut der Quelle von CVE-2026-115893 betroffen. Der Fehler hängt dort mit sehr großen WebAssembly-Sprungtabellen zusammen; die korrigierten Versionen begrenzen solche Tabellen zusätzlich auf 65.520 Ziele.
Stand 26. Oktober wurden keine Angriffe auf die beiden Schwachstellen gemeldet, und keine der beiden Lücken stand zu diesem Zeitpunkt im KEV-Katalog der US-Behörde CISA. Die Sicherheitsprüfung sollte dennoch auch die Abhängigkeiten in Cargo.lock-Dateien einbeziehen: RustSec führt die Fehler unter RUSTSEC-2026-0380 und RUSTSEC-2026-0379. Für die ARM64-Lücke lag in GitHubs Advisory-Datenbank außerdem noch kein geprüfter Eintrag vor, weshalb Dependabot-Nutzer dafür keinen Alarm erwarten sollten.