Шесть бюллетеней Wasmtime: две критические (CVSS 9.9) — Cranelift на aarch64 и bit-packing

Bytecode Alliance выпустила очередную партию бюллетеней (20.10.2026): в ней две критические уязвимости CVSS 9.9 в Cranelift и четыре проблемы в wasi-http/wasmtime. Исправлено в 48.0.7 (и 49.0.4; для части — в 36.0.19).

Критические (CVSS 9.9)

• 0379 — бэкенд Cranelift на aarch64 может перейти по неверному адресу при большой инструкции Wasm br_table;
• 0380 — упаковка битов в компиляторе Cranelift вызывает тихое переполнение и мисскомпиляцию.

wasi-http и паника (3.7–5.7)

• 0375 (5.3) — гости могут задать неверный content-length для склеенных тел ответа;
• 0376 (3.7) — гости могут добавлять конфликтующие длины содержимого;
• 0377 (3.7) — пересылаемые trailers не проверяются хуком is_forbidden_header;
• 0378 (5.7) — паника при понижении созданного хостом потока компонентной модели в гостя, ожидающего другой тип полезной нагрузки.

Что делать

Обновиться до 48.0.7 / 49.0.4 (для 0376 и 0379 также исправлена ветка 36.0.19). Учитывая две критические уязвимости, обновление критично.

Оригинал

wasmtime: Cranelift aarch64 br_table; bit-packing miscompilation; wasi-http content-length/trailers; panic lowering component stream.