شركة Unity Technology تُصلح ثغرة في نظام Android للهواتف المحمولة، وتمنع استغلالها

أصدرت شركة Unity Technologies تحديثًا لإصلاح ثغرة أمنية كان من الممكن أن تسمح بتنفيذ تعليمات برمجية ضارة في ألعاب Android المبنية باستخدام منصتها، مما قد يؤدي إلى سرقة بياناتdentمثل عبارات استعادة محافظ العملات المشفرة. 

في بيانها الاستشاريأن الثغرة الأمنية تُشكّل خطرًا جسيمًا، إلا أنه لا يوجد دليل على استغلالها أو تأثيرها على المستخدمين. وقد تم اكتشافها لأول مرةdent4 يونيو/حزيران من قِبل باحث الأمن السيبراني ريوتا كيه من شركة GMO Flatt Security Inc.، وصُنّفت تحت اسم CWE-426: مسار بحث غير موثوق. 

تُعد شركة Unity Technologies، المزودة لأدوات تطوير ثلاثية الأبعاد في الوقت الفعلي، مسؤولة عن تشغيل أكثر من 70% من أفضل 1000 لعبة محمولة في العالم.

أثر خطأ في Unity على إصدارات المحرر، مما عرّض التطبيقات لمشكلة تحميل الملفات

بحسب ما ورد، فقد أثرت الثغرة الأمنية على عدة منصات، بما في ذلك أندرويد، وويندوز، وماك أو إس، ولينكس. وقد تم إصدار نسخة مُعدّلة من بيئة تشغيل Unity في 2 أكتوبر، ويُحثّ المطورون على تحديث برامجهم لتجنب خطر استغلال هذه الثغرة.

أشار ريوتاك أيضاً إلى هذه الثغرة الأمنية، التي حصلت على درجة 8.4 في نظام CVSS. وتنص على أن التطبيقات الخبيثة المثبتة على الأجهزة يمكنها الاستيلاء على الأذونات الممنوحة للتطبيقات المبنية على Unity، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية عن بُعد.

نشر مدير قسم المجتمع لاري "الرائد نيلسون" هريب بيانًا أمنيًا يقول فيه إن التطبيقات التي تستخدم إصدارات Unity Editor المتأثرة معرضة لهجمات تحميل الملفات وتضمين الملفات المحلية.

يمكن للمهاجمين استغلال هذا الخلل للوصول إلى مستوى صلاحيات التطبيق المُعرّض للخطر. وتواجه أنظمة ويندوز ضعف المخاطر في حال وجود مُعالج URI مُخصّص مُسجّل، والذي يُمكن للمهاجمين استخدامه لتشغيل تحميل المكتبة عن بُعد.

سمحت ثغرة أمنية في بيئة تشغيل Unity، الموجودة في الإصدارات التي أُجريت قبل 2 أكتوبر، بـ"حقن الوسائط"، مما قد يؤدي إلى تحميل التعليمات البرمجية من مواقع غير مقصودة. وفي حال اختراقها، يمكن للمهاجم تنفيذ أوامر عشوائية أو استخراج معلوماتdentمن الجهاز المتأثر.

التحديث متاح الآن، والمشاريع تبدأ في إعادة البناء

أكدت شركة Unity في أواخر الأسبوع الماضي توفر التحديثات لجميع المطورين، ونصحتهم بإعادة بناء مشاريعهم باستخدام نسخة مُحدثة من محرر Unity. كما أوصت الشركة بتطبيق أداة Unity Application Patcher على إصدارات Android أو Windows أو macOS الحالية، ثم اختبارها وإعادة نشرها.

مرحباً مطوري الواقع الممتد! ربما تكونون قد رأيتم إشعاراً من Unity هذا الصباح.

تسمح ثغرة أمنية في Unity (من الإصدار 2017.1 فصاعدًا) بتحميل الملفات غير الآمن / تضمين الملفات المحلية مما قد يؤدي إلى تنفيذ التعليمات البرمجية أو الكشف عن البيانات في التطبيقات المبنية.

للمعالجة، يجب عليك إما... pic.twitter.com/h2PhFCQeX6

— روبي ᯅ (@xrdevrob) ٣ أكتوبر ٢٠٢٥

أكدت شركة يونيتي في بيانها الرسمي أنه "لم يتم العثور على أي دليل على استغلال فعلي" وأن عملاءها لم يتأثروا. وأضافت الشركة أنه تم إبلاغ المطورين باتخاذ إجراءات فورية للتخفيف من الأضرار لمنع أي مخاطر مستقبلية.

في نظام أندرويد، قد تؤدي هذه المشكلة إلى تنفيذ تعليمات برمجية أو رفع مستوى الصلاحيات، بينما في أنظمة ويندوز ولينكس (المكتبية والمدمجة) وماك أو إس، كان من الممكن أن تتسبب الثغرة في مخاطر تتعلق بالصلاحيات. وأشارت شركة يونيتي في بيانها إلى أن ألعاب منصات الألعاب لم تتأثر، على الرغم من أن تطبيقات الهواتف المحمولة وتطبيقات سطح المكتب المبنية على إصدارات يونيتي المعرضة للثغرات الأمنية كانت عرضة للمخاطر.

يوم الجمعة الماضي مايكروسوفت تنبيهًا أمنيًا ذا صلة، مؤكدةً أن فرق تطوير الألعاب التي تعمل بنظام ويندوز تُراجع وتُحدّث أي ألعاب قد تتأثر بهذه الثغرة. وقد تم تحديث برنامج ويندوز ديفندر منذ ذلك الحين للكشف عن أي ثغرات معروفة مرتبطة بهذه الثغرة وحظرها.

يستخدم المتسللون الألعاب لسرقة البيانات الخاصة

يواجه قطاع الألعاب بشكل عام تهديدات من برامج خبيثة، طوّرها قراصنة إلكترونيون قاموا بإخفاء الألعاب، وحتى المحتوى القابل للتنزيل، في صورة محتوى شرعي. يخفي القراصنة البرامج الخبيثة في الألعاب الشائعة، أو العروض التجريبية، أو التعديلات التي يتم توزيعها عبر قنوات غير رسمية. 

قد يُساعد اللاعبون، دون علمهم، المخترقين بتحميل نسخ مقرصنة من ألعاب مثل Grand Theft Auto V و God of Warو Mortal Kombat 1 ، مُحمّلة ببرامج خبيثة خفية، مثل Crackonosh. وبمجرد تثبيتها، يستغل هذا الفيروس موارد جهاز المستخدم سرًا لتعدين العملات الرقمية مثل مونيرو (XMR) "بصمت".

يقوم بعض المتسللين بحقن برمجيات خبيثة عبر تحديثات ما بعد الإطلاق أو إعادة توجيه المستخدمين إلى مواقع خارجية تستضيف ملفات مصابة. وبعد خداع اللاعبين بنجاح لتنزيل اللعبة المحملة، يسرقون بياناتهم الشخصية، أو بيانات حساباتهم في الألعاب، أو الرقميةdentبيانات. 

دعا هريب في بيانه المطورين والمستخدمين إلى تحديث أنظمة التشغيل باستمرار، وتفعيل التحديثاتmatic ، واستخدام برامج مكافحة فيروسات موثوقة. كما أكد أن الأمن "مسؤولية مشتركة" في مجال الألعاب، نظراً لتفاعل ملايين المستخدمين مع التطبيقات التي تعمل بتقنية Unity بشكل يومي.