- Unity Technologies lanzó un parche crítico que corrige una vulnerabilidad de alta gravedad que afecta a las plataformas Android, Windows, macOS y Linux.
- La falla, descubierta por RyotaK de GMO Flatt Security, podría permitir la ejecución local de código y el acceso no autorizado a los datos del usuario.
- No se ha encontrado evidencia de explotación, ya que Unity y los principales desarrolladores actúan rápidamente para asegurar los juegos y sistemas afectados.
Unity Technologies ha lanzado un parche para corregir una vulnerabilidad de seguridad que podría haber permitido la ejecución de código malicioso en juegos de Android construidos con su plataforma, potencialmente robando credenciales como las frases semilla de billeteras de criptomonedas.
En su actualización de seguridad asesoramiento, Unity declaró que el bug presentaba un riesgo de alta severidad; sin embargo, no hay evidencia de explotación o impacto en los usuarios. Fue identificado por primera vez el 4 de junio por el investigador de ciberseguridad RyotaK de GMO Flatt Security Inc., y clasificado como CWE-426: Ruta de Búsqueda No Confiada.
Unity Technologies, un proveedor de herramientas de desarrollo 3D en tiempo real, impulsa más del 70% de los 1,000 mejores juegos móviles del mundo.
El bug de Unity afectó versiones del editor, exponiendo aplicaciones a la carga de archivos
Según la divulgación, la vulnerabilidad afectó a varias plataformas, incluyendo Android, Windows, macOS y Linux. Se lanzó una versión parcheada de Unity Runtime el 2 de octubre, y se insta a los desarrolladores a actualizar su software para evitar el riesgo de exploits.
La vulnerabilidad, con una puntuación CVSS de 8.4, también fue mencionada por RyotaK. Indica que las aplicaciones maliciosas instaladas en los dispositivos podrían secuestrar los permisos otorgados a las aplicaciones construidas con Unity, permitiendo a los atacantes ejecutar código arbitrario de forma remota.
El director de comunidad Larry “Major Nelson” Hryb publicó un aviso de seguridad indicando que las aplicaciones que usaban versiones afectadas del Editor de Unity eran vulnerables a la carga de archivos y ataques de inclusión de archivos locales.
Los atacantes podrían explotar esta falla para obtener acceso al nivel de privilegio de la aplicación vulnerable. Los sistemas Windows enfrentaban el doble de riesgo si existía un controlador de URI personalizado registrado, que los atacantes podrían usar para desencadenar la carga de bibliotecas de forma remota.
El Runtime de Unity vulnerable, presente en compilaciones realizadas antes del 2 de octubre, permitía la “inyección de argumentos”, lo que podría resultar en la carga de código desde ubicaciones no intencionadas. Si se ve comprometido, un adversario podría ejecutar comandos arbitrarios o exfiltrar información confidencial desde un dispositivo afectado.
El parche está activo, los proyectos comienzan a reconstruir
Unity confirmó a finales de la semana pasada que los parches ya están disponibles para todos los desarrolladores y ha aconsejado a los desarrolladores que reconstruyan sus proyectos con una versión parcheada del Editor de Unity. La firma también recomendó aplicar el Parcheador de Aplicaciones de Unity a las compilaciones existentes de Android, Windows o macOS, seguido de pruebas y reimplantación.
¡Hola desarrolladores de XR! Es posible que hayan visto una notificación de Unity esta mañana.
Una vulnerabilidad en Unity (desde la versión 2017.1 en adelante) permite la carga de archivos insegura / inclusión de archivos locales que puede llevar a la ejecución de código o divulgación de datos en las aplicaciones compiladas.
Para remediar, debes… pic.twitter.com/h2PhFCQeX6
— Robi ᯅ (@xrdevrob) Octubre 3, 2025
En el comunicado oficial, Unity reiteró que “no se había encontrado evidencia de explotación activa” y que ningún cliente se vio afectado. La compañía añadió que se comunicaron pasos inmediatos de mitigación a los desarrolladores para prevenir cualquier exposición futura.
En Android, el problema podría llevar a la ejecución de código o elevación de privilegios, mientras que en Windows, Linux (escritorio e integrado) y macOS, la falla podría haber resultado en riesgos de privilegios. El aviso de Unity señaló que los juegos de consola no se vieron afectados, aunque las aplicaciones móviles y de escritorio construidas con versiones vulnerables de Unity estaban expuestas a amenazas.
El viernes pasado, Microsoft también emitió un aviso de seguridad relacionado confirmando que los equipos de desarrollo de juegos basados en Windows estaban revisando y actualizando cualquier título potencialmente afectado. Windows Defender se ha actualizado desde entonces para detectar y bloquear cualquier exploit conocido relacionado con la vulnerabilidad.
Hackers usando juegos para robar datos privados
La industria del juego en general ha estado enfrentando amenazas de software malicioso, desarrollado por hackers que han disfrazado juegos, incluso contenido descargable, como contenido legítimo. Los hackers ocultan malware en juegos populares, demos o mods distribuidos a través de canales no oficiales.
Los jugadores podrían ayudar sin saberlo a los hackers descargando versiones piratas de títulos como Grand Theft Auto V, God of War, o Mortal Kombat 1 imbebidos con malware oculto, como Crackonosh. Una vez instalado, el virus informático utiliza encubiertamente los recursos del ordenador del usuario para minar criptomonedas digitales como Monero (XMR) “silenciosamente.”
Algunos actores maliciosos inyectan código dañino a través de actualizaciones posteriores al lanzamiento o redirigen a los usuarios a sitios externos que alojan archivos infectados. Después de engañar con éxito a los jugadores para que descarguen el juego cargado, roban datos personales, de juego o credenciales de billetera de criptomonedas.
En su declaración, Hryb instó a los desarrolladores y usuarios a actualizar siempre sus sistemas operativos, habilitar las actualizaciones automáticas y usar software antivirus confiable. También dijo que la seguridad es una “responsabilidad compartida” en los juegos porque millones de usuarios interactúan con aplicaciones impulsadas por Unity día a día.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
