باگ جدید در موتور بازی‌سازی یونایتی

به گزارش کارگروه امنیت خبرگزاری سایبربان، این باگ که با شناسه CVE-2025-59489 ثبت شده، برنامه‌هایی را که با نسخه‌های آسیب‌پذیر یونایتی ساخته شده‌اند، در معرض حملاتی قرار می‌دهد که می‌توانند کد دلخواه را اجرا کنند؛ به این معنا که یک فایل مخرب می‌تواند از مجوزهای اعطاشده به بازی استفاده کرده و با همان سطح دسترسی، دستوراتی را روی دستگاه قربانی اجرا کند.

شرکت یونایتی (Unity) اعلام کرد این آسیب‌پذیری عمدتاً سیستم‌های اندروید، ویندوز، لینوکس و مک را تحت تأثیر قرار می‌دهد، اما ظاهراً در دستگاه‌های آی او اس (iOS) و بازی‌های اجراشده روی ایکس باکس (Xbox)، پلی استیشن (PlayStation) یا نینتندو سوییچ (Nintendo Switch) قابل بهره‌برداری نیست.

یونایتی در هشدار امنیتی خود اعلام کرد که این نقص ممکن است امکان دسترسی به اطلاعات محرمانه روی دستگاه‌های کاربران نهایی که از اپلیکیشن‌های ساخته‌شده با یونیتی استفاده می‌کنند را فراهم کند، با این حال تأکید کرد که اجرای هرگونه کد در محدوده سطح دسترسی همان برنامه آسیب‌پذیر باقی می‌ماند و افشای اطلاعات نیز تنها محدود به داده‌هایی خواهد بود که برای همان اپلیکیشن در دسترس است.

در بیانیه شرکت آمده است:

هیچ مدرکی از سوءاستفاده از این آسیب‌پذیری وجود ندارد و هیچ تأثیری بر کاربران یا مشتریان مشاهده نشده است. یونایتی اصلاحات لازم را منتشر کرده و این به‌روزرسانی‌ها هم‌اکنون در دسترس تمامی توسعه‌دهندگان قرار دارند.

با وجود اینکه تاکنون نشانه‌ای از سوءاستفاده واقعی مشاهده نشده است، اما خطر بالقوه این باگ به دلیل گستردگی استفاده از موتور یونیتی روی میلیاردها دستگاه اندرویدی در سراسر جهان بسیار بالاست.

از جمله بازی‌های محبوب ساخته‌شده با موتور یونایتی می‌توان به پوکمون گو (Pokémon GO)، گنشین ایمپکت (Genshin Impact) و کال آو دیوتی موبایل (Call of Duty: Mobile) اشاره کرد.

شرکت مایکروسافت هشدار داده است که برنامه‌ها و بازی‌های آسیب‌پذیر خود موقتاً باید حذف شوند تا به‌روزرسانی رسمی منتشر شود، اما افزود:

در بیشتر موارد، با اطمینان از به‌روزبودن بازی‌ها و اجرای مایکروسافت دیفندر (Microsoft Defender) روی دستگاه، می‌توان از خطر در امان ماند.

پلتفرم استیم (Steam) نیز اطلاعیه‌ای برای توسعه‌دهندگان بازی‌های یونایتی منتشر و اعلام کرده است که مانع اجرای بازی‌هایی خواهد شد که شامل «هر یک از چهار پارامتر خط فرمان ذکرشده در گزارش یونیتی» باشند، چراکه ممکن است ماهیتی مخرب داشته باشند.

این باگ در جریان کنفرانس پژوهشگران برنامه باگ بانتی شرکت متا (Meta) در ماه ژوئن توسط پژوهشگری با نام ریوتاک (RyotaK) از شرکت امنیت سایبری ژاپنی جی ام او فلت سکیوریتی (GMO Flatt Security) گزارش شد.

این شرکت در بیانیه‌ای اعلام کرد:

ما از تعهد یونایتی برای رسیدگی سریع به این مشکل و تلاش‌های مداوم آن‌ها برای ارتقای امنیت پلتفرمشان قدردانی می‌کنیم. آسیب‌پذیری‌های امنیتی بخشی اجتناب‌ناپذیر از توسعه نرم‌افزار هستند، اما با همکاری جامعه توسعه‌دهندگان، می‌توانیم به بهبود و ایمن‌تر شدن نرم‌افزارها برای همه کمک کنیم.