Betroffen ist Wasmtime, eine Laufzeitumgebung zum Ausführen von WebAssembly-Programmen, genauer deren Übersetzungs-Backend Cranelift. Cranelift speichert die internen Nummern von SSA-Werten – also der Zwischenwerte, die beim Übersetzen eines Programms entstehen – in einer platzsparend gepackten Bitdarstellung. Enthält eine WebAssembly-Funktion sehr viele solcher Werte, etwa weil sie ungewöhnlich groß ist oder gezielt dafür konstruiert wurde, läuft dieser Zähler über, ohne dass in regulären Release-Builds eine Prüfung anschlägt. In der Folge greift der Compiler auf falsche Zwischenwerte zu und erzeugt fehlerhaften Maschinencode. Daraus können Typverwechslungen und weitere vom Angreifer steuerbare Effekte entstehen, mit denen sich die Isolation der WebAssembly-Sandbox durchbrechen lässt. Da der Fehler im Compiler selbst liegt, betrifft er alle Plattformen, auf denen das Standard-Backend Cranelift verwendet wird. Gefährdet sind insbesondere Dienste, die fremden oder nicht vertrauenswürdigen WebAssembly-Code ausführen.