Unity (Game Engine) ima resno varnostno luknjo

Čudno da še ni bilo novice o tem, ker je zadeva resna tako za igralce kot razvijalce in velja za veliko varnostno tveganje.

Na kratko: Ranljivost izvira iz ukaznih oz zagonskih arugmentov (command line / intent extras) v Unity runtime-u , ki omogoča vnos parametrov ki jih Unity nato uporabi pri nalaganju dodatnih knjižnjic.

Problem je ker bi moral runtime omejtiti oz. preveriti katere knjižnice je dovoljeno naložiti, on ta vnos neposredno preda sistemski funkciji za nalaganje native knjižnic. To pomeni da je dovolj da napadalec samo poskrbi da je zlonamerna datoteka na lokaciji do katere ima runtime dostop, kar je normalno problematično ker se bo brez preverjanja ta koda zagnala.

Posledice so da v tem primeru lahko potem koda dostopa do dovoljenj ki jih ima aplikacija (mreža, datoteke, ipd), sploh če je aplikacija zagnana z administratorskimi pravicami.

TLDR: Ranljivost omogoča izvajanje poljubne kode v okviru vaše igre. Do česarkoli dostopa vaša igra, do tega lahko dostopa tudi zlonamerna koda.

Platforme ki so ranljive:

- Android
- Windows
- macOS
- Linux

Kako reagirajo platforme:
- Google je razvijalcem že začel pošiljat obvestila, da je potreba ranljivost odpraviti v naslednjih 2 mesecih
- Steam je blokiral zagon iger ki omogočajo custom argumente, nekaj jih je tudi že umaknil dokler ne bo popravka na voljo
- Microsoft je posodobil Windows Defender ki zazna če Unity igra oz. aplikacija skuša naložiti sumljiv dll


Ranljivost obstaja od Unity 2017, torej 8 let. Popravek je že na voljo, ampak realnost je da veliko naslovov, sploh starejših ne bo nikoli dobilo posodobitve, kar bo pomenilo da če boste imeli zadevo na računalniku oz. telefonu boste ostali ranljivi.

Unity has found a security vulnerability that has sat dormant for almost a decade: 'Take immediate action to protect your games & apps'

Unity uradna izjava