製品・ソフトウェアに関する情報
脆弱性検索
Bytecode Allianceのwasmtimeにおけるキャッチされない例外に関する脆弱性
タイトル Bytecode Allianceのwasmtimeにおけるキャッチされない例外に関する脆弱性
概要

WasmtimeはWebAssemblyのランタイムです。24.0.7、36.0.7、42.0.2、および43.0.1以前のバージョンでは、SSE3が無効化されたx86-64プラットフォーム上で、Craneliftを使用したf64x2.splat WebAssembly命令のコンパイル時に、必要以上に8バイト多く読み込んでしまう可能性があります。シグナルベースのトラップが無効化されている場合、マップされていないガードページから読み込みが発生し、キャッチされないセグメンテーションフォルト(segfault)が起こる可能性があります。ガードページが無効な場合、サンドボックス外のデータを読み込む可能性がありますが、このデータはWebAssemblyゲストには見えません。この脆弱性は24.0.7、36.0.7、42.0.2、および43.0.1で修正されています。

想定される影響 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
対策

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年4月9日0:00
登録日 2026年4月21日10:46
最終更新日 2026年4月21日10:46
CVSS3.0 : 警告
スコア 5.7
ベクター CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H
影響を受けるシステム
Bytecode Alliance
wasmtime 24.0.7 未満
wasmtime 25.0.0 以上 36.0.7 未満
wasmtime 37.0.0 以上 42.0.2 未満
wasmtime 43.0.0 以上 43.0.1 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
変更履歴
No 変更内容 変更日
1 [2026年04月21日]
  掲載		 2026年4月21日10:46
NVD脆弱性情報
CVE-2026-34944
概要

Wasmtime is a runtime for WebAssembly. Prior to 24.0.7, 36.0.7, 42.0.2, and 43.0.1, On x86-64 platforms with SSE3 disabled Wasmtime's compilation of the f64x2.splat WebAssembly instruction with Cranelift may load 8 more bytes than is necessary. When signals-based-traps are disabled this can result in a uncaught segfault due to loading from unmapped guard pages. With guard pages disabled it's possible for out-of-sandbox data to be loaded, but this data is not visible to WebAssembly guests. This vulnerability is fixed in 24.0.7, 36.0.7, 42.0.2, and 43.0.1.

公表日 2026年4月10日4:16
登録日 2026年4月15日11:34
最終更新日 2026年4月21日3:27
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 24.0.7
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 25.0.0 36.0.7
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 37.0.0 42.0.2
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 43.0.0 43.0.1
関連情報、対策とツール
共通脆弱性一覧