VULNERABILIDAD
CVE-2026-47218 Ejecución de código nativo en runwasi mediante capa OCI precompilada falsificada
Antes de 0.6.1, containerd-shim-wasmtime-v1 trata bytes precompilados de Wasmtime incluidos en una capa de imagen OCI como artefacto confiable y los deserializa como código nativo. Un atacante que logre que la víctima ejecute una imagen manipulada puede evadir la validación de WebAssembly y ejecutar código nativo en el proceso zygote del shim, con acceso al sistema de archivos, entorno, credenciales, red y llamadas al sistema del contenedor de carga de trabajo.
Alerta de Nureq Monitor
Detectada 15 OCT · 17:28
CVSS 4.0
9.3CRÍTICAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 32
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-47218
Antes de 0.6.1, containerd-shim-wasmtime-v1 trata bytes precompilados de Wasmtime incluidos en una capa de imagen OCI como artefacto confiable y los deserializa como código nativo. Un atacante que logre que la víctima ejecute una imagen manipulada puede evadir la validación de WebAssembly y ejecutar código nativo en el proceso zygote del shim, con acceso al sistema de archivos, entorno, credenciales, red y llamadas al sistema del contenedor de carga de trabajo.
Productos y versiones afectadas
containerd runwasi
Qué hacer
- Verificá si usás runwasi y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 9.3 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
runwasi facilitates running Wasm and WASI workloads managed by containerd. Prior to 0.6.1, containerd-shim-wasmtime-v1 can treat Wasmtime precompiled bytes supplied directly in an OCI image layer as a trusted artifact from the precompile-cache path and deserialize them as native code. An attacker who causes a victim to run a crafted image can bypass WebAssembly validation and execute native code in the shim zygote process, gaining the filesystem, environment, credentials, networking, and Linux syscall access available to the workload container. Downstream shims built with runwasi's containerd-shim-wasm precompile-cache API are also affected if they implement Compiler and trust executable precompiled artifacts from OCI image layers; the 0.6.1 boundary applies specifically to containerd-shim-wasmtime and does not independently certify downstream product releases. The flaw escapes the WASI sandbox to the workload container boundary, but it does not by itself bypass container isolation or provide direct host code execution. This issue is fixed in version 0.6.1.
Referencias
- github.com/containerd/runwasi/security/advisories/GHSA-cc25-vq59-rcjxX_REFSOURCE_CONFIRM
- github.com/containerd/runwasi/commit/d28ab73c2c8a6c50d1927078821bd418b9e51638X_REFSOURCE_MISC
- github.com/containerd/runwasi/releases/tag/containerd-shim-wasmtime/v0.6.1X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.