Two Critical Wasmtime Flaws Could Let Malicious WebAssembly Modules Escape Sandboxes

Los ad­mi­nis­tra­do­res del pro­yec­to Wasm­ti­me han ad­ver­ti­do sobre dos vul­ne­ra­bi­li­da­des crí­ti­cas en este en­torno de eje­cu­ción de We­bAs­sembly, las cua­les po­drían per­mi­tir que un mó­du­lo ma­li­cio­so logre eva­dir los lí­mi­tes del en­torno ais­la­do (sand­box). Para ex­plo­tar estas fa­llas, un ata­can­te ne­ce­si­ta pri­me­ra­men­te com­pi­lar un mó­du­lo bajo su con­trol uti­li­zan­do una com­pi­la­ción vul­ne­ra­ble, y uno de los pro­ble­mas des­cri­tos se li­mi­ta de ma­ne­ra ex­clu­si­va a sis­te­mas con ar­qui­tec­tu­ra ARM64. Las pun­tua­cio­nes otor­ga­das por los res­pon­sa­bles en la es­ca­la CVSS al­can­za­ron una ca­li­fi­ca­ción muy alta, y hasta el mo­men­to no se han re­gis­tra­do ata­ques ex­plo­tan­do estas vul­ne­ra­bi­li­da­des.

Ambos erro­res se lo­ca­li­zan en el com­pi­la­dor pre­de­ter­mi­na­do que trans­for­ma el có­di­go en có­di­go má­qui­na. El fallo apli­ca­ble a todas las ar­qui­tec­tu­ras surge de la ma­ne­ra en que se al­ma­ce­na­ban los nú­me­ros para ras­trear va­lo­res den­tro de una fun­ción, donde un des­bor­da­mien­to per­mi­tía ge­ne­rar có­di­go in­co­rrec­to que podía de­ri­var en con­fu­sión de tipos y es­ca­pe del ais­la­mien­to. Por su parte, la falla ex­clu­si­va de ARM64 está re­la­cio­na­da con la ins­truc­ción que rea­li­za sal­tos con­di­cio­na­les ba­sa­dos en ín­di­ces, la cual podía apun­tar a ubi­ca­cio­nes erró­neas si la tabla su­pe­ra­ba cier­to ta­ma­ño. Las ver­sio­nes co­rre­gi­das fue­ron pues­tas a dis­po­si­ción de los usua­rios y se es­pe­ci­fi­ca que cada pro­gra­ma que in­cor­po­re este soft­wa­re como bi­blio­te­ca debe ser re­com­pi­la­do con las ver­sio­nes ac­tua­li­za­das.