CVE-2026-90648

wasm2c w WebAssembly od wersji 1.0.41 umożliwia ucieczkę z piaskownicy w niektórych sytuacjach, które dotyczą głównie platform 32-bitowych, czyli jest to atak typu „table flip”. Nie sprawdza wartości zwracanej przez calloc() w wasm_rt_allocate_funcref_table() (wasm2c/wasm-rt-impl-tableops.inc). Gdy alokacja tabeli funcref nie powiedzie się, tabela->dane pozostawia NULL, podczas gdy tabela->rozmiar zachowuje liczbę elementów zadeklarowanych przez gościa; w związku z tym sprawdzanie granic nadal przebiega pomyślnie, a dostęp do elementów tabeli jest rozstrzygany na bezwzględne adresy pamięci (i * sizeof(wasm_rt_funcref_t)). Daje to dowolny odczyt i zapis pamięci procesu hosta oraz - poprzez table.get, table.set i call_indirect - wykonanie dowolnego kodu, pokonując izolację, którą zapewnia wasm2c (pełna ucieczka z piaskownicy). wasm2c jest używany jako granica piaskownicy w procesie przez RLBox i WasmBoxC, w tym w przeglądarce Firefox, która kompiluje biblioteki Graphite, Hunspell, Ogg, Expat i Woff2 za pośrednictwem wasm2c, aby zawierać niezaufane czcionki, multimedia i dane wejściowe XML. Dlatego potencjalnie może to mieć wpływ na działanie piaskownicy w tych aplikacjach. Eksploatacja wymaga, aby alokacja tablicy funcref nie powiodła się, na przykład w przypadku ograniczenia przestrzeni adresowej (RLIMIT_AS), na hostach 32-bitowych, z vm.overcommit_memory=2 lub przy niskim obciążeniu pamięci. W 64-bitowym systemie Linux z domyślnym nadmiernym zatwierdzeniem alokacja kończy się sukcesem i defekt nie jest wyzwalany. Alokator pamięci wasm2c przerywa działanie w przypadku błędu wywołania calloc w tym samym środowisku wykonawczym; w alokatorze tabel brakuje tego zachowania przerywającego. Zostało to wprowadzone w zatwierdzeniu ab9e0b55 (PR #813).