Unity Technology исправляет ошибку в мобильной версии Android, отрицая наличие уязвимости

Unity Technologies выпустила патч для устранения уязвимости безопасности, которая могла позволить выполнение вредоносного кода в играх для Android, созданных на их платформе, что потенциально могло привести к краже учетных данных, таких как сид-фразы криптокошельков. 

В своем обновлении безопасности advisory, Unity заявила, что ошибка представляла собой риск высокой степени серьезности; однако нет доказательств эксплуатации или воздействия на пользователей. Она была впервые обнаружена 4 июня исследователем кибербезопасности RyotaK из GMO Flatt Security Inc. и классифицирована как CWE-426: Ненадежный путь поиска. 

Unity Technologies, поставщик инструментов для разработки в реальном времени 3D, обеспечивает работу более 70% из 1000 лучших мобильных игр в мире.

Ошибка Unity затронула версии редактора, подвергнув приложения риску загрузки файлов

Согласно в раскрытии информации, уязвимость затронула несколько платформ, включая Android, Windows, macOS и Linux. Исправленная версия Unity Runtime была выпущена 2 октября, и разработчикам настоятельно рекомендуется обновить свое программное обеспечение, чтобы избежать риска эксплуатаций.

Уязвимость с оценкой CVSS 8,4 также была упомянута RyotaK. В нем говорится, что вредоносные приложения, установленные на устройствах, могут перехватывать разрешения, предоставленные приложениям, созданным с помощью Unity, позволяя злоумышленникам удаленно выполнять произвольный код.

Директор по сообществу Ларри «Мейор Нельсон» Хряб опубликовал предупреждение о безопасности, в котором говорилось, что приложения, использующие уязвимые версии Unity Editor, подвержены атакам на загрузку файлов и локальное включение файлов.

Злоумышленники могли использовать эту уязвимость для получения доступа на уровне привилегий уязвимого приложения. Системы Windows подвергались двойному риску, если существовал зарегистрированный пользовательский обработчик URI, который злоумышленники могли бы использовать для удаленного запуска загрузки библиотеки.

Уязвимая версия Unity Runtime, присутствующая в сборках, созданных до 2 октября, позволяла «инъекцию аргументов», что могло привести к загрузке кода из непреднамеренных мест. Если система будет скомпрометирована, злоумышленник может выполнить произвольные команды или похитить конфиденциальную информацию с затронутого устройства.

Патч активен, проекты начинают перестраиваться

Unity подтвердила в конце прошлой недели, что патчи теперь доступны для всех разработчиков, и посоветовала им пересобрать свои проекты с исправленной версией Unity Editor. Компания также рекомендовала применить Unity Application Patcher к существующим сборкам Android, Windows или macOS, за которым следует тестирование и повторное развертывание.

Привет, разработчики XR! Возможно, вы видели уведомление от Unity этим утром.

Уязвимость в Unity (начиная с версии 2017.1) позволяет небезопасную загрузку файлов / локальное включение файлов, что может привести к выполнению кода или раскрытию данных в созданных приложениях.

Для устранения проблемы необходимо… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) октября 3, 2025

В официальном заявлении Unity повторила, что «нет доказательств активной эксплуатации» и что клиенты не пострадали. Компания добавила, что разработчикам были сообщены немедленные шаги по смягчению последствий, чтобы предотвратить любые будущие угрозы.

На Android проблема могла привести к выполнению кода или повышению привилегий, в то время как на Windows, Linux (настольном и встроенном) и macOS уязвимость могла привести к рискам для привилегий. В advisory Unity отметила, что консольные игры не пострадали, хотя мобильные и настольные приложения, созданные на уязвимых версиях Unity, были подвержены угрозам.

В прошлую пятницу, Microsoft также выпустила связанное предупреждение о безопасности, подтверждающее, что команды по разработке игр на Windows пересматривали и обновляли все потенциально затронутые проекты. Windows Defender с тех пор был обновлен для обнаружения и блокирования любых известных эксплойтов, связанных с этой уязвимостью.

Хакеры используют игры для кражи личных данных

Более широкая игровая индустрия сталкивается с угрозами со стороны вредоносного программного обеспечения, разработанного хакерами, которые маскируют игры, даже загружаемый контент, под легитимный контент. Хакеры прячут вредоносное ПО в популярных играх, демо-версиях или модах, распространяемых через неофициальные каналы. 

Игроки могут невольно помочь хакерам, скачивая пиратские версии таких игр, как Grand Theft Auto V, God of War, или Mortal Kombat 1 напичканные скрытым вредоносным ПО, таким как Crackonosh. После установки компьютерный вирус тайно использует ресурсы компьютера пользователя для майнинга цифровых валют, таких как Monero (XMR) «тихо».

Некоторые злоумышленники внедряют вредоносный код через обновления после запуска или перенаправляют пользователей на внешние сайты, размещающие зараженные файлы. После успешного обмана игроков и скачивания загруженной игры они крадут личные данные, игровые или учетные данные криптокошелька. 

В своем заявлении Хряб призвал разработчиков и пользователей всегда обновлять свои операционные системы, включать автоматические обновления и использовать надежное антивирусное программное обеспечение. Он также сказал, что безопасность является «общей ответственностью» в игровой индустрии, поскольку миллионы пользователей ежедневно взаимодействуют с приложениями на базе Unity.