LONDON (IT BOLTWISE) – Wasmtime schließt zwei kritische Cranelift-Schwachstellen, die es einem bösartigen WebAssembly-Modul ermöglichen könnten, die Sandbox zu verlassen. Die Fehler wurden am 19. und 20. Oktober behoben; die Risikoauswirkung unterscheidet sich dabei nach Wasmtime-Version und CPU-Architektur. Besonders betroffen sind Setups, die Module von Dritten kompilieren oder ausführen, weil es ohne kontrolliertes Wasm-Code-Konstrukt keinen Escape gibt.
Wasmtime ist längst mehr als ein reiner Browser-Nischenbaustein: Der WebAssembly-Runtime-Ansatz zielt darauf, Code außerhalb von Webbrowsern auszuführen und lässt sich dabei auch als Bibliothek in andere Produkte einbetten. Genau diese Einbettbarkeit macht die jetzt gemeldeten zwei „Sandbox Escape“-Lücken so relevant für Betreiber von Plattformen, die fremde WebAssembly-Module verarbeiten. Laut den Projektangaben können Angreifer dafür zwar keine „magische“ Schwachstelle allein über die Runtime ausnutzen, aber sie benötigen jeweils einen Wasmtime-Build, der anfällig ist, und ein WebAssembly-Modul, das sie kontrollieren. Damit verschiebt sich der Fokus in der Praxis von „wer hat Wasmtime installiert“ hin zu „wer bekommt untrusted Module“ – also typischerweise Dienste wie Compute-Plattformen oder serverseitige Ausführungsroutinen, die Kundencode dynamisch bereitstellen.
Technisch liegen beide Lücken nicht direkt in Wasmtime selbst, sondern im Standard-Compiler Cranelift, der WebAssembly zunächst in maschinennahen Code übersetzt. Die Projektbewertung ordnet jede Schwachstelle mit 9,9 von 10 Punkten auf der CVSS-Skala ein, veröffentlicht in den jeweiligen Advisory-Dokumenten. CVE-2026-115889 betrifft Wasmtime über alle Prozessorarchitekturen hinweg, während CVE-2026-115893 auf ARM64 bzw. aarch64 beschränkt ist. Die Sandbox-Logik basiert dabei auf klaren Grenzen: Ein Modul darf nur eigenen Speicher und die hostseitig bereitgestellten Funktionen nutzen; Sprünge sind auf geprüfte Ziele beschränkt. Gerade bei Compilerfehlern wird dieses Sicherheitsversprechen jedoch angreifbar, weil der Compiler die semantischen Annahmen aus der WebAssembly-Welt in konkrete Sprung- und Speicherlogik „übersetzen“ muss.
Bei der ersten Schwachstelle (CVE-2026-115889) wird der Kernmechanismus mit einer fehlerhaften Behandlung von Zahlenwerten in Cranelifts internen Repräsentationen beschrieben. Vor Version 43 packte Cranelift die Werte, die zur Verfolgung von Daten innerhalb einer Funktion dienen, in 24-Bit-Felder; in Release-Builds kann ein Überlauf dann ohne sichtbaren Fehler auftreten, sodass Cranelift auf den falschen Wert verweist und damit fehlerhaften Maschinen-Code erzeugt. Das kann in der Folge zu einer Art Typverwechslung („type confusion“) führen, die den Sandbox-Schutz unter bestimmten Bedingungen aushebelt. Die zweite Schwachstelle (CVE-2026-115893) dreht sich um die WebAssembly-Anweisung br_table, die abhängig von einem Index zu einem von vielen Zielen springt. Auf ARM64 schickt Cranelift Out-of-Range-Indizes zunächst auf einen Default-Zielpfad, aber bei sehr großen Jump-Tabellen kann diese Implementierung so weit „aus dem vorgesehenen Reichweitenfenster“ geraten, dass der Sprung stillschweigend an die falsche Stelle zeigt. In der Projektbeschreibung heißt es daher, dass jede Wasmtime-Engine auf ARM64 mit Default-Einstellungen durch ein nutzerkontrolliertes Wasm-Modul zu einem Sprung in willkürliches Codeverhalten gezwungen werden kann – zudem sei der Fehler bereits seit dem Start der ARM64-Unterstützung im Jahr 2020 vorhanden.
Für die Risikoanalyse ist entscheidend, welche Versionen tatsächlich betroffen sind und warum ein simples „Update der Kommandozeilen-Tools“ häufig nicht reicht. Laut Advisory wurden die Fixes so verteilt, dass die betroffene Release-Line und bei CVE-2026-115893 zusätzlich die CPU-Architektur eine Rolle spielen. Für die 36er-Linie gilt: Vor 36.0.19 (inklusive 24.x) sind beide Schwachstellen relevant; nach Update auf 36.0.19 ist CVE-2026-115889 geschlossen, CVE-2026-115893 ist für ARM64 dann ebenfalls behoben. In der 48er-Linie ist 48.0.0 bis 48.0.6 für CVE-2026-115889 betroffen, während CVE-2026-115893 in dieser Beschreibungspassung nur für ARM64 konkret adressiert wird; der sichere Fix liegt ab 48.0.7. In der 49er-Linie wird CVE-2026-115889 ab 49.0.4 geschlossen, darunter bleibt es offen, und für die 50er-Linie gilt: Wasmtime 50.0.0 (veröffentlicht am 20. Oktober) ist für beide Lücken gefixt. Wichtig ist außerdem die Mechanik der Einbettung: Wenn Wasmtime als Bibliothek in ein hostseitiges Programm integriert ist, müssen dessen Abhängigkeiten und das daraus generierte Artefakt neu gebaut werden; ein „nur Tool-Upgrade“ ohne Rekompilation adressiert die Problemstelle nicht.
Auch die organisatorische Umsetzung hat klare Konsequenzen: Da die Advisories keine allgemeingültigen Workarounds nennen, besteht die Sicherheitsrelevanz bis zum Update fort. Der angreifbare Pfad ergibt sich aus allen WebAssembly-Modulen, die ein unbeteiligter Dritter bereitstellen kann – besonders, wenn der Dienst Module compile-time oder JIT-nah übersetzt, statt nur statisch verifizierten Code aus einem eigenen Build-Prozess auszuführen. In der Praxis führt das zu konkreten Aufgaben für Teams, die Multi-Tenant-Workloads betreiben oder „Bring-your-own-module“-Modelle anbieten: Sie sollten nicht nur Wasmtime-Versionen im Betrieb inventarisieren, sondern auch deren Einbindungspfade in Produktcode, CI/CD-Blueprints und Container-Images prüfen. Zusätzlich taucht die Schwachstellenlage in RustSec-Kontexte auf, sodass cargo-audit anhand von RUSTSEC-2026-0380 und RUSTSEC-2026-0379 gegen Cargo.lock-Dateien prüfen kann; gleichzeitig zeigen die Angaben, dass die ARM64-spezifische Lücke in den reviewed Einträgen nicht vollständig abgedeckt war, was bei Abhängigkeitsautomaten wie Dependabot zu unterschiedlichen Meldungen führen kann.
Wer die Schwächen „nur“ aus Patch-Listenperspektive betrachtet, übersieht leicht die langfristige Sicherheitswirkung: Cranelift hatte nach Projektangaben den 24-Bit-Problemkomplex bereits mit einer Änderung auf 32-Bit-Felder entschärft, die im Hauptentwicklungslauf in Wasmtime 43.0.0 angekommen sei; in der 36.x-LTS-Linie wurde dieser Fix offenbar am 19. Oktober nachgezogen. Bei der ARM64-Lücke dagegen wurde laut Beschreibung nicht nur Code korrigiert, sondern auch die Kompilatlogik so umgebaut, dass out-of-range Indizes über die Jump-Table selbst verarbeitet werden, wodurch der riskante, lange Branch-Fall wegfällt. Dass der Fehler so lange im ARM64-Teil existieren konnte, verdeutlicht zudem, wie stark Compiler-Details die Sicherheitsgrenzen einer Runtime prägen. Für Betreiber heißt das abschließend: Nicht nur auf „LTS-Version“ verlassen, sondern gezielt auf die dokumentierten Fix-Releases innerhalb der noch unterstützten Linien (36, 48, 49 und 50) umstellen und anschließend die Einbettung neu bauen, damit die gefixten Cranelift-Artefakte tatsächlich im Produkt landen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wasmtime-Fixes stopfen zwei Cranelift-Schwachstellen gegen Sandbox-Escape" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wasmtime-Fixes stopfen zwei Cranelift-Schwachstellen gegen Sandbox-Escape" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wasmtime-Fixes stopfen zwei Cranelift-Schwachstellen gegen Sandbox-Escape« bei Google Deutschland suchen, bei Bing oder Google News!