Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Wasmtime (CVE-2026-27204)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
24/02/2026
Última modificación:
25/02/2026

Descripción

Wasmtime es un entorno de ejecución para WebAssembly. Antes de las versiones 24.0.6, 36.0.6, 4.0.04, 41.0.4 y 42.0.0, la implementación de Wasmtime de las interfaces de host WASI es susceptible al agotamiento de recursos controlado por el invitado en el host. Wasmtime no estableció adecuadamente límites en las asignaciones de recursos solicitadas por los invitados. Esto sirve como un vector de denegación de servicio. Se han lanzado las versiones Wasmtime 24.0.6, 36.0.6, 40.0.4, 41.0.4 y 42.0.0 con la corrección de este problema. Estas versiones no previenen este problema en su configuración predeterminada para evitar romper comportamientos preexistentes. Todas las versiones de Wasmtime tienen controles apropiados para prevenir este comportamiento, y Wasmtime 42.0.0 y posteriores tendrán estos controles ajustados por defecto para evitar que este problema ocurra. No hay soluciones alternativas conocidas para este problema sin actualizar. Se recomienda a los integradores actualizar y configurar sus incrustaciones según sea necesario para evitar que invitados posiblemente maliciosos exploten este problema.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.90 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Passsive
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Alto

Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA
Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 24.0.6 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 25.0.0 (incluyendo) 36.0.6 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 37.0.0 (incluyendo) 40.0.4 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime:*:*:*:*:*:rust:*:* 41.0.0 (incluyendo) 41.0.4 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información