Unity Technology risolve bug mobile Android, nega exploit

Unity Technologies ha rilasciato una patch per correggere una vulnerabilità di sicurezza che avrebbe potuto consentire l'esecuzione di codice malevolo nei giochi Android costruiti con la sua piattaforma, potenzialmente rubando credenziali come le seed phrase dei wallet crypto. 

Nella sua aggiornamento di sicurezza avviso, Unity ha dichiarato che il bug presentava un rischio di alta gravità; tuttavia, non ci sono prove di sfruttamento o impatto sugli utenti. È stato identificato per la prima volta il 4 giugno dal ricercatore di cybersecurity RyotaK di GMO Flatt Security Inc. ed è stato classificato come CWE-426: Untrusted Search Path. 

Unity Technologies, un fornitore di strumenti di sviluppo 3D in tempo reale, alimenta oltre il 70% dei migliori 1.000 giochi mobili del mondo.

Il bug di Unity ha interessato le versioni dell'editor, esponendo le app al caricamento di file

Secondo la divulgazione, la vulnerabilità ha interessato diverse piattaforme, tra cui Android, Windows, macOS e Linux. Una versione patchata del Unity Runtime è stata rilasciata il 2 ottobre, e agli sviluppatori viene consigliato di aggiornare il loro software per evitare il rischio di attacchi.

La vulnerabilità, con un punteggio CVSS di 8,4, è stata menzionata anche da RyotaK. Si afferma che le app malevole installate sui dispositivi potrebbero dirottare i permessi concessi alle app costruite con Unity, consentendo agli attaccanti di eseguire codice arbitrario da remoto.

Il direttore della community Larry “Major Nelson” Hryb ha pubblicato un avviso di sicurezza affermando che le applicazioni che utilizzavano versioni dell'Unity Editor affette erano vulnerabili al caricamento di file e ad attacchi di inclusione di file locali.

Gli attaccanti potevano sfruttare questa falla per ottenere accesso al livello di privilegio dell'applicazione vulnerabile. I sistemi Windows affrontavano il doppio del rischio se esisteva un handler URI personalizzato registrato, che gli attaccanti potevano usare per attivare il caricamento della libreria da remoto.

Il Unity Runtime vulnerabile, presente nelle build realizzate prima del 2 ottobre, consentiva l'iniezione di “argomenti”, che poteva risultare nel caricamento di codice da posizioni non intenzionali. Se compromesso, un avversario avrebbe potuto eseguire comandi arbitrari o esfiltrare informazioni riservate da un dispositivo interessato.

La patch è attiva, i progetti iniziano a ricostruire

Unity ha confermato alla fine della scorsa settimana che le patch sono ora disponibili per tutti gli sviluppatori e ha consigliato agli sviluppatori di ricostruire i loro progetti con una versione patchata dell'Unity Editor. L'azienda ha anche raccomandato di applicare l'Unity Application Patcher alle build Android, Windows o macOS esistenti, seguito da test e ridistribuzione.

Ciao sviluppatori XR! Potreste aver visto una notifica da Unity questa mattina.

Una vulnerabilità in Unity (dalla versione 2017.1 in poi) consente il caricamento di file non sicuro / inclusione di file locali che può portare all'esecuzione di codice o alla divulgazione di dati nelle applicazioni buildate.

Per remediate, devi o… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) Ottobre 3, 2025

Nella dichiarazione ufficiale, Unity ha ribadito che “non sono state trovate prove di sfruttamento attivo” e che nessun cliente è stato interessato. L'azienda ha aggiunto che i passaggi immediati di mitigazione sono stati comunicati agli sviluppatori per prevenire qualsiasi futura esposizione.

Su Android, il problema potrebbe portare all'esecuzione di codice o all'elevazione dei privilegi, mentre su Windows, Linux (desktop e embedded) e macOS, la vulnerabilità avrebbe potuto comportare rischi per i privilegi. L'avviso di Unity ha notato che i giochi per console non erano interessati, sebbene le applicazioni mobili e desktop basate su versioni vulnerabili di Unity fossero esposte a minacce.

Lo scorso venerdì, Microsoft ha anche emesso un avviso di sicurezza correlato che conferma che i team di sviluppo di giochi basati su Windows stavano rivedendo e aggiornando eventuali titoli potenzialmente interessati. Windows Defender è stato quindi aggiornato per rilevare e bloccare qualsiasi exploit noto legato alla vulnerabilità.

Hacker che usano i giochi per rubare dati privati

L'industria dei videogiochi nel suo complesso sta affrontando minacce da software malevoli, sviluppati da hacker che hanno mascherato i giochi, persino i contenuti scaricabili, come contenuti legittimi. Gli hacker nascondono malware nei giochi popolari, nelle demo o nelle mod distribuite attraverso canali non ufficiali. 

I giocatori potrebbero aiutare inconsapevolmente gli hacker scaricando versioni piratate di titoli come Grand Theft Auto V, God of War, o Mortal Kombat 1 infettati da malware nascosti, come Crackonosh. Una volta installato, il virus del computer sfrutta in modo furtivo le risorse del computer dell'utente per estrarre valute digitali come Monero (XMR) "silenziosamente."

Alcuni attori malevoli iniettano codice dannoso tramite aggiornamenti post-lancio o reindirizzano gli utenti a siti esterni che ospitano file infetti. Dopo aver ingannato con successo i giocatori facendoli scaricare il gioco caricato, rubano i dati personali, i giochi o le credenziali del portafoglio crypto. 

Nella sua dichiarazione, Hryb ha esortato sviluppatori e utenti ad aggiornare sempre i loro sistemi operativi, abilitare gli aggiornamenti automatici e utilizzare software antivirus affidabile. Ha anche affermato che la sicurezza è una "responsabilità condivisa" nel gaming, poiché milioni di utenti interagiscono con applicazioni basate su Unity quotidianamente.