Во дела...В Unity нашлась уязвимость, которой подвержены версии движка, начиная с версии 2017.1. Рейтинг у CVE 7.4 из 10, даже не смотря на то, что команда Unity пишет, что нет никаких свидетельств эксплуатации этой уязвимости. Но, например, Obsidian временно сняла с продажи кучу своих игр из-за этой уязвимости. А Marvel Snap, No Rest for the Wicked, Ingress, Fate/Grand Order уже выпустили обновление.

Уязвимость базируется на возможности передавать доп. аргументы командной строки, позволяющие загружать и выполнять произвольный код.

Что делать:
- Если есть исходники, то пересобрать игру на новой версии движка.
- Если нет исходников, то с помощью Unity Application Patcher.

Valve, в свою очередь, уже выпустила обновление Steam'а. Windows Defender тоже получил обновление.

Чуток подробностей о том, как это на различных платформах может использоваться:
- На Android уязвимость может позволить другим приложениям на устройстве запускать ваше приложение и внедрять вредоносную нативную библиотеку с помощью аргумента xrsdk-pre-init-library или overrideMonoSearchPath для 32-разрядных приложений, созданных с помощью Mono.
- На Windows, если приложение зарегано как кастомный URL schema handler, уязвимость может быть использована для повышения привилегий процесса.
- На macOS, если игра собрана с Hardened Runtime, и включены определённые исключения времени выполнения, которые ослабляют защиту от внедрения кода, необходимо принять меры.
- На Linux в окружениях AppArmor, bubblewrap, Firejail, SELinux методы LD_PRELOAD, ptrace могут позволить запустить приложуху с произвольными аргументами.

Обновляемся и патчимся, котята! 🧐

#Unity