Redazione RHC:7 Outubro 2025 07:22
Uma vulnerabilidade foi descoberta no Motor de jogo Unity, que está presente desde 2017. O problema pode ser explorado para execução de código em Android e escalonamento de privilégios no Windows .
Os desenvolvedores da Valve já atualizaram o Steam e a Microsoft atualizou o Microsoft Defender, aconselhar os usuários a desinstalar jogos vulneráveis até receberem patches.
O bug de segurança
Unity é um mecanismo de jogo multiplataforma e plataforma de desenvolvimento que fornece ferramentas de renderização, física, animação e script para criar jogos para Windows, macOS, Android, iOS, consoles e web . O Unity alimenta um grande número de jogos para dispositivos móveis, bem como vários projetos independentes para PC e consoles. A plataforma também é usado fora da indústria de jogos para criar aplicativos 3D em tempo real.
A vulnerabilidade no Unity, identificada como CVE-2025-59489 (escore CVSS 8,4), afeta o Componente de tempo de execução. Ele permite carregamento inseguro e inclusão de arquivo local (LFI), o que poderia levar para execução de código e divulgação de informações.
O problema foi descoberto em maio deste ano por um especialista em segurança da GMO Flatt, que atende pelo pseudônimo RyotaK . RyotaK relata que o bug afeta todos os jogos baseados em Unity, começando com a versão 2017.1 e posterior.
Em um relatório técnico , RyotaK Demonstra Isso O tratamento de intenções do Android pelo Unity permite que qualquer aplicativo malicioso instalado no mesmo dispositivo que um jogo vulnerável baixe e execute uma biblioteca nativa fornecida pelo invasor . Isso leva à execução de código arbitrário com os privilégios do jogo vulnerável.
A vulnerabilidade permite “execução de código local e acesso a informações confidenciais em dispositivos de usuário final que executam aplicativos baseados em Unity”, Os desenvolvedores do Unity alertam em seus Boletim de segurança . “A execução do código seria limitada ao nível de privilégio do aplicativo vulnerável e a divulgação de informações seria limitada às informações acessíveis ao aplicativo vulnerável.”
Observe que atualmente não há evidências de que essa vulnerabilidade tenha sido explorada ou que ela afete usuários ou clientes.
Os desenvolvedores já prepararam patches, inclusive para versões não suportadas (a partir da versão 2019.1). Versões mais antigas e sem suporte não receberão correções. As etapas resolvidas incluem atualizar o editor do Unity para a versão mais recente, recompilar e reimplantar o aplicativo e substituir o binário de runtime do Unity por uma versão corrigida.
Reação
Após o relatório da RyotaK, a Valve lançou um Atualização do cliente Steam que bloqueia esquemas de URI personalizados para evitar a exploração de CVE-2025-59489. A Valve também recomenda que os desenvolvedores reconstruir seus jogos usando uma versão segura do Unity o mais rápido possível ou implementar uma versão corrigida do UnityPlayer.dll em compilações existentes.
A Microsoft também lançou seu próprio Boletim de segurança , recomendando aos utilizadores que Desinstale jogos vulneráveis até que versões atualizadas sejam lançadas que endereçam CVE-2025-59489. A empresa observa que os jogos populares afetados pela vulnerabilidade incluem Hearthstone, The Elder Scrolls: Blades, Fallout Shelter, DOOM (2019), Wasteland 3 e Forza Customs.
Representantes da Obsidian dizem que foram forçados a temporariamente retirar Certos jogos e produtos de lojas digitais ( incluindo Grounded 2 Founders Edition, Avowed Premium Edition, Pillars of Eternity: Hero Edition, Pillars of Eternity II: Deadfire e Pentiment ) até receberem “atualizações necessárias para resolver o problema.”
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.