Lintlafatso tsa tokiso Wasmtime 6.0.1, 5.0.1 le 4.0.1 li ile tsa lokisa ts'oaetso (CVE-2023-26489), e neng e abetsoe boemo bo boima ba kotsi. Ho ba kotsing ho lumella data hore e ngoloe sebakeng sa memori ka ntle ho meeli e lumelletsoeng bakeng sa khoutu e ka thōko ea WebAssembly, e ka 'nang ea sebelisoa ke mohlaseli ho phethahatsa khoutu ea bona ka ntle ho tikoloho e ka thōko ea WASI.
Wasmtime ke nako ea ho tsamaisa lits'ebetso tsa WebAssembly ka li-extensions tsa WASI (WebAssembly System Interface) joalo ka lits'ebetso tse tloaelehileng tse ikemetseng. Setsi sa lisebelisoa se ngotsoe ka puo ea Rust, 'me ho ba kotsing ho bakoa ke phoso e utloahalang ha ho hlalosoa melao ea tsamaiso ea mohopolo ho Cranelift code jenereithara, e fetolelang boemeli ba mahareng bo ikemetseng ba meralo ea hardware ho khoutu ea mochine e sebetsang bakeng sa x86_64 meralo.
Haholo-holo, bakeng sa lits'ebetso tsa WebAssembly, liaterese tse sebetsang tsa 35-bit li ne li baloa sebakeng sa liaterese tsa 33-bit tse lumelletsoeng ho WebAssembly, e ileng ea fetola moeli oa mohopolo o lumelletsoeng bakeng sa ho bala le ho ngola ho 34 GB, ha litlhophiso tsa tikoloho ea sandbox li fana ka tšireletso bakeng sa 6 GB ho tloha atereseng ea motheo. Ka lebaka leo, memori ea sebele e tloha ho 6 ho ea ho 34 GB ho tloha atereseng ea motheo e ne e fumaneha bakeng sa ho bala le ho ngola ho tsoa lits'ebetsong tsa WebAssembly. Memori ena e ka amohela libaka tse ling tsa WebAssembly kapa likarolo tsa nako ea ho sebetsa ea WebAssembly.
Haeba ho sa khonehe ho nchafatsa mofuta oa Wasmtime, mokhoa oa ho thibela phoso ke ho hlakisa khetho ea "Config::static_memory_maximum_size(0)" ho etsa hore ho hlahlojoe meeli e arohaneng ea phihlello ea mohopolo (e bakang kotlo e kholo ea ts'ebetso) . Kgetho e 'ngoe ke ho sebelisa "Config::static_memory_guard_size(1 <36)" ho eketsa palo ea Maqephe a Balebeli (mokhethoa o lahliloeng ha o fihleloa) a behiloeng sebakeng se nang le bothata ba memori (e bakang ho boloka mohopolo o mongata haholo le ho fokotsa palo ka nako e le 'ngoe e tsamaisang lits'ebetso tsa WebAssembly).
Source: opennet.ru