Unity Technology修复Android移动漏洞，否认利用漏洞

Unity Technologies发布了一个补丁，以修复一个安全漏洞，该漏洞可能允许在其平台构建的Android游戏中执行恶意代码，从而可能窃取诸如加密货币钱包助记词等凭据。 

在其安全更新 公告中，Unity表示该漏洞构成高风险；然而，没有证据表明存在利用或用户影响。该漏洞于6月4日由GMO Flatt Security Inc.的安全研究员RyotaK首次发现，并被归类为CWE-426：不受信任的搜索路径。 

Unity Technologies是实时3D开发工具的提供商，其技术支撑着全球前1000款移动游戏中超过70%的游戏。

Unity漏洞影响编辑器版本，使应用程序面临文件加载风险

根据 披露显示，该漏洞影响了多个平台，包括Android、Windows、macOS和Linux。Unity Runtime的修补版本于10月2日发布，并敦促开发人员更新其软件以避免 利用.

该漏洞的CVSS评分为8.4，RyotaK也提到了这一点。他指出，安装在设备上的恶意应用程序可能会劫持授予Unity构建应用程序的权限，允许攻击者远程执行任意代码。

社区总监Larry “Major Nelson” Hryb发布了一份安全公告，称使用受影响Unity Editor版本的应用程序容易受到文件加载和本地文件包含攻击。

攻击者可以利用此漏洞以易受攻击应用程序的特权级别获得访问权限。如果存在注册的自定义URI处理程序，Windows系统面临的风险加倍，攻击者可以利用它来远程触发库加载。

10月2日之前构建中存在的易受攻击的Unity Runtime允许“参数注入”，这可能导致从非预期位置加载代码。如果遭到破坏，对手可以运行任意命令或从受影响设备中窃取机密信息。

补丁已上线，项目开始重建

Unity上周晚些时候确认，所有开发人员现在都可以获得补丁，并建议开发人员使用修补后的Unity Editor版本重建他们的项目。该公司还建议对现有的Android、Windows或macOS构建应用Unity Application Patcher，随后进行测试和重新部署。

你好，XR开发人员！你今天早上可能看到了来自Unity的通知。

Unity（从2017.1版本开始）中的一个漏洞允许不安全的文件加载/本地文件包含，这可能导致构建的应用程序中代码执行或数据泄露。

要修复，您必须…… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) 10月 3日, 2025

在官方声明中，Unity重申“没有发现积极利用的证据”，也没有客户受到影响。该公司补充说，已向开发人员传达了立即缓解步骤，以防止任何未来的暴露。

在Android上，该问题可能导致代码执行或权限提升，而在Windows、Linux（桌面和嵌入式）和macOS上，该漏洞可能导致权限风险。Unity的公告指出，主机游戏不受影响，尽管在易受攻击的Unity版本上构建的移动和桌面应用程序面临威胁。

上周五， 微软 还发布了一项相关的安全警报，确认基于Windows的游戏开发团队正在审查和更新任何可能受影响的游戏。Windows Defender随后已更新，以检测和阻止与该漏洞相关的任何已知利用。

黑客利用游戏窃取私人数据

更广泛的电子游戏行业一直面临恶意软件的威胁，这些恶意软件由黑客开发，他们将游戏，甚至是可下载内容伪装成合法内容。黑客将恶意软件隐藏在通过非官方渠道分发的热门游戏、演示或模组中。 

玩家可能会在不知情的情况下帮助黑客，通过下载盗版版本的游戏，例如 《侠盗猎车手V》， 《战神》, 还是 《真人快打 1 中隐藏恶意软件，如Crackonosh。一旦安装，计算机病毒会秘密利用用户的计算机资源来挖掘诸如 门罗币 (XMR) “静默地”等数字货币。

一些恶意行为者通过发布后更新注入有害代码，或将用户重定向到托管感染文件的外部网站。在成功诱骗玩家下载加载的游戏后，他们窃取个人数据、游戏或 加密货币钱包凭据. 

在他的声明中，Hryb呼吁开发人员和用户始终更新他们的操作系统，启用自动更新，并使用可靠的防病毒软件。他还表示，由于数百万用户每天与Unity驱动的应用程序互动，安全是游戏中的“共同责任”。