Uma vulnerabilidade no Unity descoberta recentemente está afetando jogos e aplicativos desenvolvidos com o motor gráfico desde 2017. A falha de segurança, que recebeu uma classificação de gravidade alta e pontuação CVSS de 8.4 (em uma escala que vai até 10), foi identificada em sistemas Android, Windows, Linux e macOS, exigindo ação imediata dos desenvolvedores.
Detectada em 4 de junho deste ano e corrigida apenas em 2 de outubro, a vulnerabilidade torna os usuários “suscetíveis a ataques de carregamento inseguro de arquivos e inclusão de arquivos locais”, conforme explicou a própria Unity. Na prática, isso significa que invasores poderiam executar códigos locais ou obter informações sensíveis com o mesmo nível de privilégio do aplicativo vulnerável.
A vulnerabilidade afeta todas as versões do mecanismo a partir da 2017.1, o que significa que a falha permaneceu sem detecção por oito anos. Apesar da gravidade, a empresa afirma que “não há evidências de qualquer exploração da vulnerabilidade nem houve impacto em usuários ou clientes” até o momento.
Desenvolvedores que utilizaram essas versões do Unity para criar jogos ou aplicativos estão sendo fortemente orientados a recompilar e republicar suas aplicações. A empresa disponibilizou atualizações corretivas através do Unity Hub e do Unity Download Archive.
Nos casos em que a recompilação completa não for viável, a Unity também publicou uma ferramenta específica que corrige aplicações no Android, Windows e macOS sem necessidade de reconstrução total. No entanto, esta solução apresenta limitações importantes: não funciona em builds com proteção anti-adulteração ou medidas anti-cheat, e não oferece suporte para Linux.
A empresa também indicou que “a correção provavelmente não quebrará a maioria dos jogos”, uma afirmação que soa menos tranquilizadora do que deveria. Para os usuários finais, a recomendação é manter dispositivos e aplicativos sempre atualizados, já que versões antigas podem continuar vulneráveis.
Para aplicativos em Android, o sistema de detecção de malware integrado ao sistema operacional deve identificar softwares afetados, enquanto no Windows o Microsoft Defender foi atualizado para “detectar e bloquear a vulnerabilidade”. A Valve também está implementando proteções adicionais na Steam para mitigar os riscos desta falha.
Quanto ao Linux, a Unity esclareceu que não lançou uma versão da ferramenta de correção para este sistema devido ao “perfil de risco mais baixo”, mesmo mantendo a classificação de alta severidade na tabela de plataformas afetadas. Desenvolvedores com aplicações Linux precisarão obrigatoriamente recompilar seus projetos usando a versão corrigida do Unity Editor.
Fonte: PC Gamer
