wasm3 未受控内存分配漏洞 · CVE-2024-27529

漏洞详情

wasm3在提交139076a中包含Read_utf8函数中的内存泄漏问题。

影响范围

Swift

• 包名：github.com/shareup/wasm-interpreter-apple
• 受影响版本：<= 0.8.1
• 已修复版本：无

Python

• 包名：pywasm3 (pip)
• 受影响版本：<= 0.5.0
• 已修复版本：无

Rust

• 包名：wasm3 (cargo)
• 受影响版本：<= 0.3.1
• 已修复版本：无

严重性评级

中等严重性

• CVSS总体评分：6.9/10

CVSS v4基础指标

可利用性指标

• 攻击向量：网络
• 攻击复杂度：低
• 攻击要求：存在
• 所需权限：无
• 用户交互：无

脆弱系统影响指标

• 机密性：无影响
• 完整性：无影响
• 可用性：高影响

后续系统影响指标

• 机密性：无影响
• 完整性：无影响
• 可用性：无影响

弱点分析

CWE-125

越界读取 - 产品读取数据超过预期缓冲区的末尾或开头之前

CWE-400

未受控资源消耗 - 产品未能正确控制有限资源的分配和维护，使得攻击者能够影响消耗的资源量，最终导致可用资源耗尽

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2024-27529
• wasm3/wasm3#462
• https://gist.github.com/haruki3hhh/ac70bd83b9c0ed1de6289d818488da78
• wasm3/wasm3#490
• wasm3/wasm3@526c125

时间线

• 国家漏洞数据库发布时间：2024年11月8日
• GitHub咨询数据库发布时间：2024年11月9日
• 审核时间：2024年11月12日
• 最后更新时间：2024年11月18日