Unity Technology corrige un bug sur mobile Android, nie l'existence d'une faille d'exploitation

Unity Technologies a publié un correctif pour résoudre une vulnérabilité de sécurité qui aurait pu permettre l'exécution de code malveillant dans les jeux Android construits avec sa plateforme, potentiellement en volant des identifiants tels que les phrases semences des portefeuilles de cryptomonnaies. 

Dans sa mise à jour de sécurité conseil, Unity a déclaré que le bug présentait un risque de haute gravité ; cependant, il n'y a aucune preuve d'exploitation ou d'impact sur les utilisateurs. Il a été identifié pour la première fois le 4 juin par le chercheur en cybersécurité RyotaK de GMO Flatt Security Inc., et classé comme CWE-426 : Chemin de recherche non fiable. 

Unity Technologies, un fournisseur d'outils de développement 3D en temps réel, alimente plus de 70 % des 1 000 meilleurs jeux mobiles au monde.

Le bug Unity affectait les versions de l'éditeur, exposant les applications au chargement de fichiers

Selon la divulgation, la vulnérabilité affectait plusieurs plateformes, y compris Android, Windows, macOS et Linux. Une version corrigée du Runtime Unity a été publiée le 2 octobre, et les développeurs sont exhortés à mettre à jour leur logiciel pour éviter le risque de les exploits.

La vulnérabilité, avec un score CVSS de 8,4, a également été mentionnée par RyotaK. Il indique que les applications malveillantes installées sur les appareils pourraient usurper les autorisations accordées aux applications construites avec Unity, permettant aux attaquants d'exécuter du code arbitraire à distance.

Le directeur de la communauté, Larry « Major Nelson » Hryb, a publié un avis de sécurité indiquant que les applications utilisant des versions affectées de l'éditeur Unity étaient vulnérables aux attaques de chargement de fichiers et d'inclusion de fichiers locaux.

Les attaquants pourraient exploiter cette faille pour obtenir un accès au niveau de privilège de l'application vulnérable. Les systèmes Windows faisaient face à un risque doublé si un gestionnaire d'URI personnalisé enregistré existait, ce que les attaquants pourraient utiliser pour déclencher le chargement de bibliothèques à distance.

Le Runtime Unity vulnérable, présent dans les builds créés avant le 2 octobre, permettait une « injection d'arguments », qui pouvait entraîner le chargement de code depuis des emplacements non intentionnels. En cas de compromission, un adversaire pourrait exécuter des commandes arbitraires ou exfiltrer des informations confidentielles depuis un appareil affecté.

Le correctif est en ligne, les projets commencent à reconstruire

Unity a confirmé fin de semaine dernière que les correctifs étaient désormais disponibles pour tous les développeurs et a conseillé aux développeurs de reconstruire leurs projets avec une version corrigée de l'éditeur Unity. L'entreprise a également recommandé d'appliquer le correcteur d'application Unity aux builds Android, Windows ou macOS existants, suivi de tests et de redéploiements.

Salut les développeurs XR ! Vous avez peut-être vu une notification de Unity ce matin.

Une vulnérabilité dans Unity (à partir de la version 2017.1) permet un chargement de fichiers non sécurisé / une inclusion de fichiers locaux qui peut conduire à l'exécution de code ou à la divulgation de données dans les applications construites.

Pour remédier à cela, vous devez soit… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) Octobre 3, 2025

Dans l'énoncé officiel, Unity a réitéré qu'« aucune preuve d'exploitation active » n'avait été trouvée et qu'aucun client n'était affecté. L'entreprise a ajouté que des mesures d'atténuation immédiates avaient été communiquées aux développeurs pour prévenir toute exposition future.

Sur Android, le problème pourrait entraîner une exécution de code ou une élévation de privilège, tandis que sur Windows, Linux (bureau et intégré) et macOS, la faille aurait pu entraîner des risques de privilèges. L'avis de Unity a noté que les jeux console n'étaient pas affectés, bien que les applications mobiles et de bureau construites sur des versions vulnérables d'Unity aient été exposées à des menaces.

Vendredi dernier, Microsoft a également émis un avis de sécurité connexe confirmant que les équipes de développement de jeux basées sur Windows examinaient et mettaient à jour tous les titres potentiellement affectés. Windows Defender a depuis été mis à jour pour détecter et bloquer toute exploitation connue liée à cette faille.

Des pirates utilisant des jeux pour voler des données privées

L'industrie du jeu dans son ensemble fait face à des menaces provenant de logiciels malveillants développés par des pirates qui ont déguisé des jeux, y compris le contenu téléchargeable, en contenu légitime. Les pirates cachent des logiciels malveillants dans des jeux populaires, des démos ou des mods distribués via des canaux non officiels. 

Les joueurs pourraient involontairement aider les pirates en téléchargeant des versions piratées de titres comme Grand Theft Auto V, God of War, ou Mortal Kombat 1 infestés de logiciels malveillants cachés, tels que Crackonosh. Une fois installé, le virus informatique exploite covertment les ressources de l'ordinateur de l'utilisateur pour miner des devises numériques comme Monero (XMR) « silencieusement ».

Certains acteurs malveillants injectent du code nuisible via des mises à jour post-lancement ou redirigent les utilisateurs vers des sites externes hébergeant des fichiers infectés. Après avoir réussi à tromper les joueurs pour qu'ils téléchargent le jeu chargé, ils volent des données personnelles, des jeux ou les identifiants du portefeuille de cryptomonnaies. 

Dans son énoncé, Hryb a exhorté les développeurs et les utilisateurs à toujours mettre à jour leurs systèmes d'exploitation, à activer les mises à jour automatiques et à utiliser un logiciel antivirus fiable. Il a également déclaré que la sécurité était une « responsabilité partagée » dans le jeu car des millions d'utilisateurs interagissent quotidiennement avec des applications alimentées par Unity.