wasmer-cli 中未强制执行文件系统沙箱 (CVE-2023-51661)

CVE编号

CVE-2023-51661

利用情况

暂无

补丁情况

N/A

披露时间

2023-12-22

漏洞描述

Wasmer是一个WebAssembly运行时环境，可以在桌面、云端、边缘甚至浏览器等任何地方运行容器。然而，Wasm程序可以在沙盒之外访问文件系统，导致在Wasmer上运行不受信任的Wasm代码时，服务提供商可能意外地暴露主机文件系统。该漏洞已在版本4.2.4中修复。

解决建议

"将组件 wasmer-cli 升级至 4.2.4 及以上版本"

参考链接
https://github.com/wasmerio/wasmer/commit/4d63febf9d8b257b0531963b85df48d45d0dbf3c
https://github.com/wasmerio/wasmer/issues/4267
https://github.com/wasmerio/wasmer/security/advisories/GHSA-4mq4-7rw3-vm5j

CVSS3评分 8.4

• 攻击路径 本地
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-284	访问控制不恰当

Exp相关链接

- avd.aliyun.com