CVE-2026-34971 CVSS 7.8 高危

CVE-2026-34971 Wasmtime沙箱逃逸漏洞

披露日期: 2026-04-09

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-34971

漏洞类型

沙箱逃逸

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Wasmtime

漏洞概述

Wasmtime是一个WebAssembly运行时。在受影响版本中，其Cranelift编译后端在aarch64架构上存在编译错误，导致在处理特定堆访问形状时访问了错误的内存地址。该漏洞可导致用于边界检查的地址计算与实际加载的地址计算出现分歧。攻击者可利用此差异构造恶意WebAssembly模块，绕过边界检查并实现对主机内存的任意读写，从而导致沙箱逃逸。

技术细节

该漏洞发生在Wasmtime的Cranelift编译后端， specifically on aarch64。问题出在处理特定模式的加载指令：load(iadd(base, ishl(index, amt)))，其中amt是常量。由于在指令选择阶段对amt值的掩码操作不正确，导致Cranelift错误地匹配了降低规则，偏离了WebAssembly的语义。这种错误的编译使得用于边界检查的地址和实际加载的地址不一致。成功利用需要满足多个条件：启用64位WebAssembly线性内存（Config::wasm_memory64）、禁用Spectre缓解措施（禁用signals-based-traps会自动禁用Spectre缓解）。攻击者通过精心构造的Wasm模块，可以通过边界检查但加载预期范围之外的地址，最终实现对宿主机内存的任意读写原语，完全绕过沙箱限制。

攻击链分析

STEP 1

1. 环境准备

攻击者确认目标运行受影响版本的Wasmtime，且配置为aarch64架构、64位内存模式，并禁用了Spectre缓解措施。

STEP 2

2. 构造恶意模块

攻击者编写包含特定内存访问模式的恶意WebAssembly模块，利用load(iadd(base, ishl(index, amt)))形状触发编译器错误。

STEP 3

3. 触发地址分歧

Wasmtime编译该模块时，Cranelift后端错误生成指令，导致边界检查地址与实际加载地址不一致。

STEP 4

4. 绕过边界检查

恶意模块通过针对计算出的“检查地址”的边界检查，但实际执行时访问的是“加载地址”（可能是越界地址）。

STEP 5

5. 沙箱逃逸

利用任意内存读写原语，攻击者读取敏感数据或修改宿主内存状态，实现沙箱逃逸。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

(module
  (memory $0 1)
  ;; PoC concept demonstrating the vulnerable load shape
  ;; Vulnerable pattern: load(iadd(base, ishl(index, amt)))
  (func (export "test") (param $base i64) (param $index i64) (result i64)
    local.get $base
    local.get $index
    i64.const 3 ;; Example shift amount 'amt'
    i64.shl
    i64.add
    i64.load ;; This load shape triggers the miscompile in Cranelift
  )
)
/* 
Note: This is a simplified representation of the vulnerable code shape. 
Actual exploitation requires specific bounds checking context and memory layout.
*/

影响范围

Wasmtime >= 32.0.0, < 36.0.7

Wasmtime >= 42.0.0, < 42.0.2

Wasmtime >= 43.0.0, < 43.0.1

防御指南

临时缓解措施

如果无法立即升级，请确保在配置中启用Spectre缓解措施，因为当启用这些缓解措施时，不会生成有问题的加载形状。此外，避免在不受信任的环境中启用64位WebAssembly线性内存（Config::wasm_memory64）。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表