Три бюллетеня по Wasmtime: паника в wasi:http, лишняя память на хосте и утечка данных в гостя

Bytecode Alliance выпустила три бюллетеня безопасности по крейтам wasmtime-wasi и wasmtime-wasi-http: паника в wasi:http при нулевом таймауте, избыточное выделение памяти на хосте при отсутствии stdio у гостя и копирование неинициализированного выравнивания в память гостя. Бюллетени вышли 2 октября 2026 года.

Паника при нулевом таймауте (CVSS 5.9)

Реализация интерфейса wasi:http паниковала, если передан нулевой таймаут. Приложение может остановить гостевой модуль и сам вернуться ошибкой — отказ в обслуживании со стороны вызывающей стороны.

Избыточная память без stdio (CVSS 5.9)

Когда у гостя не настроен стандартный ввод-вывод (stdio), на хосте выделяется чрезмерно много памяти. При многократном создании таких экземпляров это превращается в истощение ресурсов хоста.

Утечка неинициализированного выравнивания (CVSS 2.1)

fd_readdir копировал в память гостя неинициализированные байты выравнивания структуры — низкоуровневая утечка потенциально чувствительных данных через библиотечное выравнивание.

Что делать

Исправлено в версиях 36.0.17, 48.0.4+ и 49.0.2+ (в зависимости от ветки). Рекомендуется обновить wasmtime-wasi, wasmtime-wasi-http и wasmtime.

Оригинал

Wasmtime wasi:http implementation panics with a zero timeout supplied; Excessive allocated memory on the host when guests don\u2019t have stdio; fd_readdir copies uninitialized struct padding into guest memory.