Vulnerabilidad en Wasmtime (CVE-2025-53901)

Wasmtime es un entorno de ejecución para WebAssembly. En versiones anteriores a la 24.0.4, 33.0.2 y 34.0.2, un error en la implementación de Wasmtime del conjunto de funciones de importación WASIp1 podía provocar que un invitado de WebAssembly indujera un pánico en el host (incrustador). El error específico se activa al llamar a `path_open` después de llamar a `fd_renumber` con dos valores de argumento iguales o con un segundo argumento igual a un valor numérico de descriptor de archivo previamente cerrado. El estado corrupto introducido en `fd_renumber` provocará que la apertura posterior de un descriptor de archivo genere un pánico. Sin embargo, este pánico no puede generar inseguridad en la memoria ni permitir que WebAssembly se salga de su entorno de pruebas. No existe posibilidad de corrupción del montón ni inseguridad en la memoria a causa de este pánico. Este error se encuentra en la implementación del crate `wasmtime-wasi` de Wasmtime, que proporciona una implementación de WASIp1. El error requiere una llamada especialmente manipulada a `fd_renumber`, además de la capacidad de abrir un descriptor de archivo posterior. Abrir un segundo descriptor de archivo solo es posible cuando se proporcionó un directorio preabierto al invitado, y esto es común entre las incrustaciones. Un pánico en el host se considera un vector de denegación de servicio para los incrustadores de WebAssembly y, por lo tanto, es un problema de seguridad en Wasmtime. Este error no afecta a WASIp2 ni a los incrustadores que utilizan componentes. De acuerdo con el proceso de lanzamiento de Wasmtime, las versiones de parche están disponibles como 24.0.4, 33.0.2 y 34.0.2. Se recomienda a los usuarios de otras versiones de Wasmtime que migren a una versión compatible de Wasmtime. Los incrustadores que utilizan componentes o no proporcionan acceso de invitado para crear más descriptores de archivo (por ejemplo, mediante un directorio del sistema de archivos preabierto) no se ven afectados por este problema. De lo contrario, no hay ninguna solución alternativa en este momento y se recomienda que las incrustaciones afectadas se actualicen a una versión parcheada que no provoque pánico en el host.