Unity 实时开发平台漏洞使攻击者实现任意代码执行

本地文件包含漏洞

该漏洞在不同操作系统上的表现各异，其中安卓应用面临的风险最高，既存在代码执行风险又可能遭受提权攻击。Windows、Linux 桌面版、Linux 嵌入式系统及 macOS 平台存在提权风险，攻击者可借此在应用权限级别获取未授权访问。 日本 GMO Flatt 安全公司的研究人员于 2025 年 6 月 4 日通过负责任的漏洞披露机制发现了该缺陷。该漏洞通过利用本地文件包含机制，使攻击者能够在受影响应用的权限级别内执行任意代码，同时可能访问该进程可获取的机密信息。 在 Windows 系统上，当为 Unity 应用程序注册了自定义 URI 处理程序时，威胁环境会变得更加复杂。攻击者可以触发不同的URI schemes，进而实现库加载行为，而无需直接访问命令行，这显著扩大了攻击面。

缓解措施

Unity 已为所有受支持的版本发布补丁，并将修复范围扩展至可追溯至 2019.1 版的旧版本。 该公司提供了两种主要修复方案：使用补丁的 Unity 编辑器版本重构程序，或对已部署应用使用 Unity 专用补丁工具进行二进制修补。当前受支持的版本，包括 6000.3、6000.2、6000.0 LTS、2022.3 xLTS 及 2021.3 xLTS，均已获得紧急补丁更新。从 2019.1 到 2023.2 的旧版本也收到了安全更新，但 2017.1 到 2018.4 的版本仍未修补，应立即升级。

该漏洞向量字符串 CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 表明攻击者仅需本地访问权限，利用复杂度低且无需用户交互，使得具备本地系统访问权限的攻击者能够相对容易地实施攻击。 Unity 强调目前未发现被主动利用的证据，也尚未收到任何客户受影响报告。