Unity TechnologyがAndroidモバイルのバグを修正し、エクスプロイトを否定

Unity Technologiesは、そのプラットフォームで構築されたAndroidゲームでの悪意のあるコード実行を可能にし、暗号通貨ウォレットのシードフレーズなどの資格情報を盗む可能性のあるセキュリティ脆弱性を修正するためのパッチをリリースしました。 

セキュリティアップデートにおいて 助言, Unityは、このバグが重大度が高いリスクをもたらすと述べていますが、エクスプロイトやユーザーへの影響を示す証拠はありません。このバグは6月4日にGMO Flatt Security Inc.のサイバーセキュリティ研究者RyotaKによって最初に特定され、CWE-426：信頼できない検索パスとして分類されました。 

リアルタイム3D開発ツールのプロバイダーであるUnity Technologiesは、世界トップ1,000のモバイルゲームの70%以上を支えています。

Unityのバグはエディターバージョンに影響を与え、アプリをファイル読み込みに対して曝露

によると 開示, 脆弱性はAndroid、Windows、macOS、Linuxを含むいくつかのプラットフォームに影響を与えました。Unity Runtimeのパッチバージョンが10月2日にリリースされ、開発者はリスクを回避するためにソフトウェアを更新するよう促されています。 攻撃.

CVSSスコア8.4のこの脆弱性は、RyotaKによっても言及されました。デバイスにインストールされた悪意のあるアプリがUnityで構築されたアプリに付与された権限を乗っ取り、攻撃者がリモートで任意のコードを実行できることを示しています。

コミュニティディレクターのLarry「Major Nelson」Hrybは、影響を受けたUnityエディターバージョンを使用するアプリがファイル読み込みやローカルファイルインクルージョン攻撃に対して脆弱であることを示すセキュリティアドバイザリを発表しました。

攻撃者はこの欠陥を悪用して、脆弱なアプリケーションの権限レベルでアクセスを取得できました。登録されたカスタムURIハンドラーが存在する場合、Windowsシステムは2倍のリスクに直面し、攻撃者はこれを使用してリモートでライブラリ読み込みをトリガーできました。

10月2日より前にビルドされたビルドに含まれていた脆弱なUnity Runtimeは、「引数インジェクション」を可能にし、意図しない場所からのコード読み込みにつながる可能性があります。侵害された場合、敵対者は影響を受けたデバイスから任意のコマンドを実行したり、機密情報を盗み出したりできました。

パッチは稼働中、プロジェクトは再構築を開始

Unityは先週後半、すべての開発者にパッチが利用可能になったことを確認し、開発者にパッチ適用版のUnityエディターでプロジェクトを再構築するよう助言しました。同社はまた、既存のAndroid、Windows、またはmacOSビルドにUnity Application Patcherを適用し、テストと再デプロイを行うことを推奨しました。

XR開発者の皆様、今朝Unityからの通知をご覧になったかもしれません。

Unity（バージョン2017.1以降）の脆弱性により、安全でないファイル読み込みやローカルファイルインクルージョンが可能になり、ビルドされたアプリケーションでのコード実行やデータ開示につながる可能性があります。

修正するには、次のいずれかを実行する必要があります… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) October 3, 2025

公式声明において、Unityは「アクティブなエクスプロイトの証拠は見つかっておらず」、顧客は影響を受けていないと再確認しました。同社は、将来の曝露を防ぐために即時の緩和措置が開発者に伝えられたと付け加えました。

Androidでは、この問題によりコード実行や権限昇格につながる可能性があり、Windows、Linux（デスクトップおよび組み込み）、macOSでは、欠陥により権限リスクが生じる可能性があります。Unityのアドバイザリは、コンソールゲームは影響を受けていないものの、脆弱なUnityバージョンで構築されたモバイルおよびデスクトップアプリケーションは脅威に曝露されていたと指摘しました。

先金曜日、 Microsoft 関連するセキュリティアラートも発行し、Windowsベースのゲーム開発チームが潜在的に影響を受けたタイトルをレビューし更新していることを確認しました。Windows Defenderはその後、エクスプロイトに関連する既知のエクスプロイトを検出してブロックするために更新されました。

ゲームを使用してプライベートデータを盗むハッカー

広範なゲーム業界は、ハッカーによって開発された悪意のあるソフトウェアからの脅威に直面しています。ハッカーは、ダウンロード可能なコンテンツを含むゲームを正規のコンテンツとして偽装しています。ハッカーは、非公式チャネルを通じて配布される人気のあるゲーム、デモ、またはMODにマルウェアを隠します。 

ゲーマーは、 グランド・セフト・オートV、 ゴッド・オブ・ウォー,それとも モータル・コンバット 1 などのタイトルの海賊版をダウンロードすることで、無意識のうちにハッカーを手伝う可能性があります。これらは隠しマルウェア、例えばCrackonoshで埋め込まれています。インストールされると、コンピュータウイルスはユーザーのコンピュータリソースを密かに利用して、 モネロ （XMR）などのデジタル通貨を「静かに」マイニングします。

一部の悪意のある行為者は、リリース後のアップデートを通じて有害なコードを注入したり、感染したファイルをホストする外部サイトへユーザーをリダイレクトしたりします。ロードされたゲームのダウンロードにゲーマーを成功裏に騙した後、彼らは個人データ、ゲームまたは 暗号通貨ウォレットの資格情報を盗みます。. 

Hrybの声明では、開発者とユーザーに対し、常にオペレーティングシステムを更新し、自動更新を有効にし、信頼できるアンチウイルスソフトウェアを使用するよう呼びかけました。また、セキュリティは「共有責任」であり、何百万人ものユーザーが日常的にUnity搭載アプリケーションとやり取りしているため、ゲームにおけるセキュリティは重要だと述べました。