Re: [情報] 遊戲引擎Unity爆重大安全漏洞

看板C_Chat (希洽)作者howtotell (貓在鋼琴上昏倒了)時間1月前 (2025/10/04 20:20)推噓8(8推 0噓 20→)

留言28則, 12人參與討論串3/4 (看更多)

https://nvd.nist.gov/vuln/detail/CVE-2025-59489 CVE-2025-59489 CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 目前有爭議的是AC AC (Attack Complexity) = H (High)攻擊條件複雜，必須滿足特定情境才能成功。 → 代表漏洞不容易被利用。 AC:L (Low)：利用條件簡單、容易利用。誰對AC說的對我不知道老美可能是覺得公司不太有人會裝unity 所以寫個H 但對玩家來說這是L吧如果你不是一個沒有錢的玩家最好是相信AC:L 先把所有的"可能是"unity的遊戲都先砍掉這漏洞一般小公司還不一定會補如果我是駭客我就一定拿活俠傳之類的開刀兩人小公司產品又熱銷受害者又都是台灣跟老共連受害範圍都很好確認一堆老外討厭死我們這兩個亞洲國家了天知道會不會拿這個開刀活俠開發者根本可能連這新聞都不知道... 其他老美都認定一致 PR (Privileges Required) = N (None)不需要任何帳號或系統權限。 → 一旦能觸發條件，攻擊者不必先有權限。 UI (User Interaction) = N (None)不需要受害者操作。 → 完全自動，不依賴使用者點擊或開啟檔案。推文說不用admin就不會中老美都說了這是最低權限都會中先砍再說吧如果一直都無法排除AC:L 你又有錢...還是不要跟自己的勞動所得開玩笑吧推文說不要亂點連結就不會中這是直接載入不管你有沒有點都會中當然就算你啥都不幹也可能沒出事就像詐騙每月都創新高但你我都沒被騙被騙的都是蠢人但我看到這東西我會怕所以我自己有砍掉所有我不確定是不是unity的只留確定是ue 歡迎指正 ※ 引述《Y78 (Y78)》之銘言： : 昨天剛好看到漏洞發現者 RyotaK 寫的技術細節，簡單講一下 : 有技術背景的可以自己看： : https://flatt.tech/research/posts/arbitrary-code-execution-in-unity-runtime/ : 在 Android 上，手機 app 可以透過發起一個叫 intent 的東西打開另一個 app : 打開的時候可以傳參數過去 : 而 Unity 在這部分沒有處理好，導致會直接載入其他 app 傳來的程式碼 : 因此一個惡意 app 就可以透過這種方式，再利用 Unity 包出來的遊戲執行程式碼 : 這是第一種攻擊方式 : 再強調一次 : 攻擊前提是：你先裝了一個惡意 app，再透過這個惡意 app 攻擊 Unity 引擎 : 攻擊成功之後，就看你原本遊戲有什麼權限，就可以拿到什麼權限 : 但由於你要先裝一個惡意 app : 在你裝惡意 app 的時候，它其實本來就可以做很多事了，不需要透過 Unity : 透過 Unity 就只是可以偷到這個 app 的更多資料，或是拿到更多權限 : 例如說 app 通常只有自己能存取自己的東西 : 因此透過 Unity 這個漏洞，可以讓其他 app 來把你東西偷走 : 第二種攻擊方式是，有些 app 會可以利用 URL 去發這個 intent : 就不需要先裝惡意 app（這個不是預設的設置，需要開發者自己加上） : 但由於 Android 本身的權限問題，會阻擋一些可疑位置的檔案載入 : 所以還需要搭配 app 本身的機制，想辦法讓攻擊者能夠寫一個檔案 : 接著再載入這個檔案才行 : 換句話說，假設一個遊戲要有問題，它本身的機制必須能讓攻擊者去寫入檔案 : 原文給的案例是 Facebook Messenger 的快取可以被攻擊者控制，利用它寫檔案 : 但遊戲的話應該就是 case by case 了，要先找到能控制寫檔案的方法 : 才有辦法寫入惡意程式碼，然後利用 URL 執行 : 總結一下，根據作者自己的技術細節，攻擊要成立的前提是： : 1. 你已經裝了一個惡意 app : 或是底下三個條件同時滿足： : 1. 遊戲支援透過 URL 的方式打開 : 2. 攻擊者可以透過遊戲本身的機制，寫一個檔案並控制內容 : 3. 你點了一個惡意 URL，觸發 Unity 漏洞 : 由於文章只有寫到 Android 的，因此不太確定其他平台的細節 : 這漏洞之所以嚴重，是因為被觸發之後就可以控制 Unity 打包出來的 app : 但觸發條件是否容易，就看大家怎麼想了 -- https://www.youtube.com/watch?v=OixrgxwNGyg