🇰🇷 한글 설명
Wasmtime의 wasmtime-wasi 구성 요소에서 cap-std 의존성 문제로 인해 파일 시스템 샌드박스 탈출 취약점이 발견되었습니다. macOS 및 openat2가 없는 Linux 커널에서 심볼릭 링크의 끝에 슬래시가 포함된 경우를 잘못 처리하여 발생합니다. 이를 통해 게스트는 호스트의 파일에 읽기 및 쓰기 권한을 획득할 수 있습니다.
💡 쉬운 설명
웹 어셈블리 실행 환경인 Wasmtime의 보안 벽이 뚫려, 격리된 프로그램이 컴퓨터의 실제 파일을 마음대로 읽거나 쓸 수 있는 문제입니다. 특정 조건에서 파일 경로를 조작하면 샌드박스를 벗어나 호스트 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
Wasmtime before 24.0.13, 25.0.0 before 36.0.14, 37.0.0 before 46.0.3, and 47.0.0 before 47.0.4 allows a filesystem sandbox escape in wasmtime-wasi because its cap-std dependency mishandles symlinks with trailing slashes on macOS and Linux kernels lacking openat2. A guest with write access to any sandboxed directory can read and write any host-accessible file, and read-only guests may read host files via preexisting symlinks.
📍 영향받는 시스템
Wasmtime < 24.0.13, < 25.0.0 (36.0.14 미만), < 37.0.0 (46.0.3 미만), < 47.0.0 (47.0.4 미만)
⚔️ 공격 벡터
쓰기 권한이 있는 게스트가 심볼릭 링크를 생성하여 호스트 파일 시스템에 접근하는 방식
🛡️ 대응 방법
Wasmtime을 최신 보안 패치가 적용된 버전(24.0.13, 25.0.0/36.0.14, 37.0.0/46.0.3, 47.0.0/47.0.4 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 패치 버전 이상인지 확인하십시오.