Unity insta a los desarrolladores a actualizar sus juegos después de descubrir un importante fall...

Responder
Unity se ha puesto en contacto con los desarrolladores después de descubrir una importante vulnerabilidad que afecta a los juegos creados con su plataforma desde el 2017. El fallo de seguridad ha sido corregido con la última versión del motor gráfico, pero es lo suficientemente importante como para que Unity haya instado a los estudios a tomar "medidas inmediatas".

Según Unity, no existe evidencia de que nadie haya sacado partido de la vulnerabilidad ni se ha detectado ningún impacto entre los usuarios o clientes. Los desarrolladores deben tomar medidas si han creado y publicado un juego o una aplicación con Unity 2017.1 o superior para Windows, Android, Linux y macOS, según ha informado Larry Hyrb, también conocido como Major Nelson. Hyrb asegura que de forma proactiva han proporcionado soluciones que abordan la vulnerabilidad y que ya están disponibles para todos los equipos y estudios.

Numerosos desarrolladores ya han actualizado sus juegos, mientras que otros trabajan en ello y mientras lo hacen han preferido retirar sus títulos de las tiendas digitales. Este es el caso de Obsidian Entertainment, que temporalmente ha cesado las ventas de Grounded 2 Founders Edition, Avowed Premium Edition, Pillars of Eternity: Hero Edition, Pillars of Eternity II: Deadfire y Pentiment. Incluso algunos juegos que usan Unreal Engine como Avowed han sido eliminados de las tiendas debido a que usan partes de Unity para el libro de ilustraciones digital. Es por este motivo que solo se retira la edición prémium y no el resto.

Las plataformas y servicios de terceros también están actuando. Por ejemplo, Valve ha actualizado Steam para mitigar la vulnerabilidad, y Microsoft Defender se ha actualizado para detectar y bloquear la posible explotación del fallo de seguridad. Por otro lado, hay que tener en cuenta que Unity se usa en aplicaciones para móviles que no son juegos. A día de hoy no hay datos que sugieran que la vulnerabilidad se pueda ejecutar en iOS, tvOS, vision OS, Xbox, Nintendo Switch, PlayStation, Universal Windows Platform, Meta Quest y WebGL.

La urgencia de Unity a la hora de pedir a los desarrolladores que tomen medidas se debe tanto al alcance de la vulnerabilidad como al riesgo que supone. Según la descripción de CVE, una aplicación creada con una versión vulnerable de Unity permite a un atacante ejecutar código y sustraer información confidencial del equipo en el que se ejecuta esa aplicación.
Aunque sea una mala noticia, buena reacción por parte de todos.
Han quitado pillars of eternity de steam [qmparto] actualizaron Unity hace tiempo y llevan meses metiendo parches arreglando bugs (despues de 9 años oiga, grandes) y hasta están haciendo un modo "por turnos" como con POE2, se ve que la vulnerabilidad les ha afectado también.
La urgencia de Unity a la hora de pedir a los desarrolladores que tomen medidas se debe tanto al alcance de la vulnerabilidad como al riesgo que supone. Según la descripción de CVE, una aplicación creada con una versión vulnerable de Unity permite a un atacante ejecutar código y sustraer información confidencial del equipo en el que se ejecuta esa aplicación.


Un palo bastante duro, y desde el desconocimiento, pregunto: ¿Qué supone actualizar el motor siendo desarrollador? ¿Habría que reestructurar todo el código o sería ajustar parámetros concretos sin tener que profundizar mucho? Para desarrolladoras independientes con pocos trabajadores tiene que ser un palazo, y habrá juegos por ahí que se siguen jugando aunque lleven años sin actualizaciones, y a saber si el desarrollador está dispuesto a actualizar el motor.

Por otro lado, como ejemplo, se me ocurre Escape from Tarkov (el vivo ejemplo de cómo hacer las cosas mal en general), una empresa grande, que ha ganado mucho dinero, y que siempre va atrasada usando Unity, a saber cómo lo solventan por que queda un mes para el lanzamiento oficial.
Debe ser algo fuerte cómo para retirar juegos.
Recibí el correo ayer y me pareció muy extraño recibir un correo tan importante sobre seguridad al mismo tiempo que insisten en que no hay evidencia de explotación o vulnerabilidad en ningun usuario.

Claramente el bug tiene que ser gordo si han desplegado parches para todas las versiones de unity desde 2019 (no te obligan a pasar a Unity6, pero si al menos a 2019), por tanto no es un movimiento pensado para que pases a Unity6 que tiene otras condiciones diferentes (tras el escandalo conocido).

Pero bueno, retirar los juegos me parece excesivo.
Se recompila con el parche, update pequeña que descargar en Steam o en la store correspondiente con el fix aplicado y a correr.

https://unity.com/es/security/sept-2025-01
no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.
HP el del PC Fútbol 8 dirá que está hecho con Unity y nos dará mas largas
Riwer escribió:Recibí el correo ayer y me pareció muy extraño recibir un correo tan importante sobre seguridad al mismo tiempo que insisten en que no hay evidencia de explotación o vulnerabilidad en ningun usuario.

Claramente el bug tiene que ser gordo si han desplegado parches para todas las versiones de unity desde 2019 (no te obligan a pasar a Unity6, pero si al menos a 2019), por tanto no es un movimiento pensado para que pases a Unity6 que tiene otras condiciones diferentes (tras el escandalo conocido).

Pero bueno, retirar los juegos me parece excesivo.
Se recompila con el parche, update pequeña que descargar en Steam o en la store correspondiente con el fix aplicado y a correr.

https://unity.com/es/security/sept-2025-01


Que no haya evidencia de explotación es porque todavía no lo han detectado. Pero seguro que si han detectado la vulnerabilidad es que alguna PoC les ha llegado por parte de "Discovered By: RyotaK of GMO Flatt Security Inc." como dice en tu enlace. Un japonés que trabaja para una empresa de ciberseguridad.

https://flatt.tech/research/posts/arbit ... y-runtime/

Espero que también parcheen versiones antiguas como la 4, pues hay algunas aventuras graficas muy chulas que es una lastima que tengan este problema.
¿Desde 2017? y estos eran los que querían cobrar por descarga [carcajad]
Estaban muy ocupados estudiando como cobrar a los desarrolladores por instalaciones en lugar de detectar cosas como estas.
cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga [carcajad]


Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.
JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?
silfredo escribió:
JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?


Las interacciones preceptivas con las metáforas cromáticas son secundarias cuando la magnitud del hecho radica en lo inmutable de la incertidumbre sistémica, abordada desde una perspectiva cataclísmica del ángulo polar. Sin embargo, el desenlace de tales proposiciones no debería exceder el umbral de la veracidad encapsulada en la percepción del observador.

[beer]

PD: Cuida tus comentario "pavo" porque te pongo fino filipino.
Espléndido.
Habría sido la leche que hubiese servido la vulnerabilidad para hackear PS5 o Switch 2.
Algún juego iba a pasar casualmente a ser el más vendido de la historia. [+risas]
Acheedz escribió:
La urgencia de Unity a la hora de pedir a los desarrolladores que tomen medidas se debe tanto al alcance de la vulnerabilidad como al riesgo que supone. Según la descripción de CVE, una aplicación creada con una versión vulnerable de Unity permite a un atacante ejecutar código y sustraer información confidencial del equipo en el que se ejecuta esa aplicación.


Un palo bastante duro, y desde el desconocimiento, pregunto: ¿Qué supone actualizar el motor siendo desarrollador? ¿Habría que reestructurar todo el código o sería ajustar parámetros concretos sin tener que profundizar mucho? Para desarrolladoras independientes con pocos trabajadores tiene que ser un palazo, y habrá juegos por ahí que se siguen jugando aunque lleven años sin actualizaciones, y a saber si el desarrollador está dispuesto a actualizar el motor.

Por otro lado, como ejemplo, se me ocurre Escape from Tarkov (el vivo ejemplo de cómo hacer las cosas mal en general), una empresa grande, que ha ganado mucho dinero, y que siempre va atrasada usando Unity, a saber cómo lo solventan por que queda un mes para el lanzamiento oficial.


Como developer en los que trabaja en unity3d entre otros motores, afecta dependiendo.

Si te puedes mantener en la misma versión de unity (2017, 2019, 2020, etc) pues dependiendo el parche del motor. El problema viene cuando pegas un salto de 2017 a 2020 o versiones bastantes superiores. Se te puede ir el proyecto al garete a niveles de tener que programar de cero muchas partes y si dependías de plugins, assets, etc, que no son compatibles con versiones superiores estas bien jodido.

Por eso hablan de la noticia de versiones de 2017 de Unity, hay muchas apps que siguen funcionando en versiones antiguas porque no renta subirlas a versiones superiores, sería como empezar de cero.

Nosotros tardamos 4 meses en pasar una app de empresa de la versión 2019 a la 2022, una autentica pesadilla, sobre todo para corregir errores.
Me he dado cuenta al interesarme por el Wasteland 3, juego que tengo en la biblioteca de Steam desde hace tiempo, el caso es que siempre quise los dlc's y me ha dado por buscar en Steam a ver con las ofertas a como salían, para mi sorpresa el juego base ya no está en la tienda, solo está la "Colorado Edition" que trae el juego base y los dlc's, lo gracioso viene cuando hay usuarios que han tratado de comprar la Colorado Edition esta y cuando van a instalar descubren que el juego base no está... Es decir, no pueden jugar [qmparto]

He estado leyendo el tema y a alguno le ha pasado eso, ya tiene que ser serio para que hagan estas cosas.
elneocs escribió:
cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga [carcajad]


Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.

La pregunta del millón es desde cuándo sabian y no habian dicho nada, hay mucho margen desde 2017 a la fecha.
cuervoxx escribió:
elneocs escribió:
cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga [carcajad]


Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.

La pregunta del millón es desde cuándo sabian y no habian dicho nada, hay mucho margen desde 2017 a la fecha.


Alli ya es no pensar mal (que esta dificil con ellos XD ), seguramente han encontrados muchos casos donde se repetian las mismas constantes e investigando dieron con el bug. De momento he leido a muchos DEVs y es variable las situaciones. Algunos llaman a la calma y que el problema requiere de mas instancias para ser un peligro (tener el SO ya comprometido por ejemplo) y otros exponiendo lo que algunos han comentado aqui y es que no es facil parchear dependiendo del proyecto y como fue desarrollado. Este mensaje en X explica bien el problema para entender mejor el contexto.
Veamos porque lo usa baten kaitos remaster y el origins y las herramientas de traducción funcionan con las versiones de entonces.
El que va similar es el tal fantasian que creo que la traducción está a nada de salir, con archivos dentro de bundles.
El bkr aunque siga con bugs no los arreglan ya
Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto [enfado1]
Pues esto es una jodienda, porque sí, muchos devs van a actualizar sus juegos, pero hay muchísimos juegos completamente abandonados que no reciben actus desde hace más de 5 años y no las van a recibir, lo que convierte a todos esos juegos en agujeros de seguridad.
Funk escribió:Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto [enfado1]


Eso es justo lo que más me ha mosqueado de la noticia. Se supone exactamente lo que has dicho, que un juego solo tenga acceso a determinadas carpetas del juego. Ahora bien, si la vulnerabilidad es catastrófica, igual desde esas carpetas el atacante puede saltar a otras en las que en principio no tenía acceso. Es lo único que se me ocurre pero claro, tampoco han dicho (por cuestiones de seguridad), cómo es el fallo realmente.

Santi RC escribió:Aunque sea una mala noticia, buena reacción por parte de todos.


Efectivamente. Al menos no parece una cosa complicada y la reacción es la correcta. Ahora a todo el mundo le toca compilar cada juego o app con el nuevo motor actualizado de Unity y volverlo a subir a las plataformas.

Kiba-kun escribió:Pues esto es una jodienda, porque sí, muchos devs van a actualizar sus juegos, pero hay muchísimos juegos completamente abandonados que no reciben actus desde hace más de 5 años y no las van a recibir, lo que convierte a todos esos juegos en agujeros de seguridad.


Lamentablemente, eso es cierto. Afortunadamente, las tiendas están tomando medidas adicionales de seguridad como por ejemplo la plataforma Steam. Quizás no sean capaces de mitigar el fallo por completo pero algo conseguirán.

Un saludo,

BY DERHYUS.[chulito]
No puede ser,.otro retraso del Pc Futbol 8.
La hostia! Desde el 2017!
JoseAtk escribió:
silfredo escribió:
JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?


Las interacciones preceptivas con las metáforas cromáticas son secundarias cuando la magnitud del hecho radica en lo inmutable de la incertidumbre sistémica, abordada desde una perspectiva cataclísmica del ángulo polar. Sin embargo, el desenlace de tales proposiciones no debería exceder el umbral de la veracidad encapsulada en la percepción del observador.

[beer]

PD: Cuida tus comentario "pavo" porque te pongo fino filipino.


hombre, yo creo que es bastante evidente que el comentario que citas en realidad queria citar al post debajo tuya y no al tuyo mismo
Me surgen varias dudas:

1. ¿El unico que puede parchear el fallo es el creador del juego? Porque hay rulando por ahi miles de juegos indie hechos con unity cuyo ultima version es de hace años y el desarrollador ya esta a otras cosas, por lo que a efectos practicos ese juego ya no se puede usar por el riesgo que supone. En esos juegos suele haber varios archivos del motor unity UnityEngine.dll, UnityPlayer.dll , UnityCrashHandler64.exe, etc, si el desarrollador no lo hace ¿es posible que los usuarios podamos parchear el juego sustituyendo la version de unity del juego por la version sin el bug o esta embebido en el codigo compilado y eso solo puede hacerlo en creador?

2. ¿como funciona exactamente el fallo? ¿Debe ejecutarse el juego para que unity este en memoria y entonces el programa malicioso lo use? ¿o basta con tener el juego instalado en el disco y los archivos de unity vulnerables para que el malware los encuentre y los use para ejecutar el exploit?
Coño qué susto, todavía existe Unity? Pensaba que se suicidaron con muchísima violencia con aquel cambio en el pircing.

Mala hierba nunca muere eh.
Estos tambien eran del fondo saudí, no?
La generación que viene va a ser nefasta.
En resumen, si lo he entendido bien, el problema viene del acceso nivel kernel que le damos NOSOTROS a los videojuegos por los anticheats.

Ese acceso permite a los videojuegos hacer lo que quieran. Si alguien consigue infectar un videojuego con ese acceso instalado en tu ordenador (con lo que tiene acceso directo o ya ha infectado tu ordenador) podría usar este fallo para conseguir los privilegios administrador con acceso al kernel y comprometer todo tu equipo.

Entonces, ¿por qué hay que parchear todos los juegos de unity?

Por otra parte, ¿hay alguna lista de juegos afectados y no parcheados? Para ir desinstalando o reinstalando.
Lugal escribió:Como developer en los que trabaja en unity3d entre otros motores, afecta dependiendo.

Si te puedes mantener en la misma versión de unity (2017, 2019, 2020, etc) pues dependiendo el parche del motor. El problema viene cuando pegas un salto de 2017 a 2020 o versiones bastantes superiores. Se te puede ir el proyecto al garete a niveles de tener que programar de cero muchas partes y si dependías de plugins, assets, etc, que no son compatibles con versiones superiores estas bien jodido.

Por eso hablan de la noticia de versiones de 2017 de Unity, hay muchas apps que siguen funcionando en versiones antiguas porque no renta subirlas a versiones superiores, sería como empezar de cero.

Nosotros tardamos 4 meses en pasar una app de empresa de la versión 2019 a la 2022, una autentica pesadilla, sobre todo para corregir errores.

Claro, lo serio seria que metiesen en el parche en todas las versiones, en vez de pasar el marrón a los desarrolladores
Tengo una duda seria: ¿qué pasa con aquellos juegos que tengas en tu biblioteca pero cuyos desarrolladores decidan no hacer una mierda? ¿Les pondrá Steam un aviso o algo cuando vayas a instalarlos, o te comerás la vulnerabilidad sin saberlo si los instalas dentro de unos meses, por ejemplo? Porque supongo que si no los parchean, los quitarán de la tienda, pero ¿y si ya los tienes comprados?
Funk escribió:Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto [enfado1]


Pues depende del juego.
Pero ahora por ejemplo están de moda los anti cheat a nivel Kernel, y ahí ya tienes un problema grave de seguridad.

Yo por eso nunca me fío de esos anti cheats modernos que tienen acceso a todo.
34 respuestas
Responder
Volver a Juegos