ユニティ・テクノロジー、Androidモバイルのバグを修正、エクスプロイトを否定

ユニティ・テクノロジーズは、同社のプラットフォームで構築されたAndroidゲームで悪意のあるコードが実行され、暗号通貨ウォレットのシードフレーズなどのdent情報が盗まれる可能性があるセキュリティ上の脆弱性を修正するパッチをリリースした。. 

セキュリティアップデート アドバイザリ、このバグは深刻なリスクをもたらすものの、悪用やユーザーへの影響の証拠はないと述べています。この脆弱性は6月4日にGMO Flatt Security株式会社のサイバーセキュリティ研究者RyotaK氏によって初めて特定されdentCWE-426: 信頼できない検索パスとして分類されました。 

リアルタイム 3D 開発ツールのプロバイダーである Unity Technologies は、世界のトップ 1,000 のモバイル ゲームの 70% 以上をサポートしています。.

Unity のバグによりエディターのバージョンが影響を受け、アプリがファイルの読み込みにさらされる

によると 開示情報を回避するためにソフトウェアのアップデートを強く推奨されています 悪用リスク。

CVSSスコア8.4のこの脆弱性は、RyotaK氏も言及しています。この脆弱性は、デバイスにインストールされた悪意のあるアプリがUnityで構築されたアプリに付与された権限を乗っ取り、攻撃者がリモートで任意のコードを実行できる可能性があるとしています。.

コミュニティディレクターの Larry “Major Nelson” Hryb 氏は、影響を受けるバージョンの Unity エディターを使用しているアプリケーションはファイルの読み込みやローカルファイルのインクルード攻撃に対して脆弱であるとするセキュリティ勧告を公開しました。.

攻撃者はこの脆弱性を悪用し、脆弱なアプリケーションの権限レベルでアクセスする可能性があります。登録済みのカスタムURIハンドラーが存在する場合、Windowsシステムのリスクは2倍になり、攻撃者はこれを利用してリモートからライブラリの読み込みをトリガーできます。.

10月2日より前に作成されたビルドに存在した脆弱なUnityランタイムには、「引数インジェクション」という脆弱性があり、意図しない場所からコードが読み込まれる可能性があります。この脆弱性が悪用された場合、攻撃者は任意のコマンドを実行したり、影響を受けるデバイスからdent情報を盗み出したりすることが可能になります。.

パッチが公開され、プロジェクトの再構築が開始されました

Unityは先週末、すべての開発者向けにパッチが利用可能になったことを確認し、開発者に対し、パッチ適用済みのUnityエディターでプロジェクトを再構築するよう勧告しました。また、既存のAndroid、Windows、またはmacOSビルドにUnity Application Patcherを適用し、テストと再デプロイを行うことを推奨しています。.

XR 開発者の皆さん、こんにちは！今朝、Unity からの通知をご覧になったかもしれません。.

Unity (バージョン 2017.1 以降) の脆弱性により、安全でないファイルの読み込みやローカル ファイルのインクルードが可能になり、ビルドされたアプリケーションでコードが実行されたり、データが漏洩したりするおそれがあります。.

修復するには、次のいずれかの方法を取る必要があります… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) 2025年10月3日

公式声明の中で、Unityは「アクティブなエクスプロイトの証拠は見つかっていない」こと、そして影響を受けた顧客はいないことを改めて強調しました。同社はさらに、今後の脆弱性の悪用を防ぐため、開発者に即時の緩和策を伝えたと付け加えました。.

Androidでは、この問題によりコード実行や権限昇格が発生する可能性があります。一方、Windows、Linux（デスクトップ版および組み込み版）、macOSでは、権限リスクにつながる可能性があります。Unityのアドバイザリでは、コンソールゲームは影響を受けなかったものの、脆弱なUnityバージョン上に構築されたモバイルおよびデスクトップアプリケーションは脅威にさらされていると指摘されています。.

先週金曜日、 マイクロソフトは 関連するセキュリティアラートを発表し、Windowsベースのゲーム開発チームが影響を受ける可能性のあるタイトルをレビューし、アップデートを行っていることを確認しました。その後、Windows Defenderはアップデートされ、この脆弱性に関連する既知のエクスプロイトをすべて検出・ブロックするようになりました。

ゲームを利用して個人情報を盗むハッカー

ゲーム業界全体は、ハッカーが開発した悪意のあるソフトウェアの脅威に直面しています。ハッカーは、ゲーム、さらにはダウンロードコンテンツさえも正規のコンテンツに偽装しています。ハッカーは、非公式チャネルで配布される人気ゲーム、デモ、またはMODにマルウェアを潜ませています。. 

などの海賊版ゲームをダウンロードすることで、知らず知らずのうちにハッカーを助けてしまう可能性がある グランド・セフト・オートV、 ゴッド・オブ・ウォー、 モータルコンバット1 などの仮想通貨を モネロ 「ひっそりと」マイニングする。

悪意のある行為者の中には、発売後のアップデートを通じて有害なコードを挿入したり、感染ファイルをホストする外部サイトにユーザーをリダイレクトしたりする者もいます。ゲーマーを騙してゲームをダウンロードさせた後、個人データ、ゲームや 暗号通貨ウォレットのdent情報。 

声明の中で、Hryb氏は開発者とユーザーに対し、OSを常にアップデートし、matic アップデートを有効にし、信頼できるウイルス対策ソフトウェアを使用するよう呼びかけました。また、Unityベースのアプリケーションは何百万人ものユーザーが日常的に利用しているため、ゲーム業界におけるセキュリティは「共通の責任」であると述べました。.