Unity insta a los desarrolladores a actualizar sus juegos después de descubrir un importante fall...

Aunque sea una mala noticia, buena reacción por parte de todos.

Han quitado pillars of eternity de steam actualizaron Unity hace tiempo y llevan meses metiendo parches arreglando bugs (despues de 9 años oiga, grandes) y hasta están haciendo un modo "por turnos" como con POE2, se ve que la vulnerabilidad les ha afectado también.

La urgencia de Unity a la hora de pedir a los desarrolladores que tomen medidas se debe tanto al alcance de la vulnerabilidad como al riesgo que supone. Según la descripción de CVE, una aplicación creada con una versión vulnerable de Unity permite a un atacante ejecutar código y sustraer información confidencial del equipo en el que se ejecuta esa aplicación.

Un palo bastante duro, y desde el desconocimiento, pregunto: ¿Qué supone actualizar el motor siendo desarrollador? ¿Habría que reestructurar todo el código o sería ajustar parámetros concretos sin tener que profundizar mucho? Para desarrolladoras independientes con pocos trabajadores tiene que ser un palazo, y habrá juegos por ahí que se siguen jugando aunque lleven años sin actualizaciones, y a saber si el desarrollador está dispuesto a actualizar el motor.

Por otro lado, como ejemplo, se me ocurre Escape from Tarkov (el vivo ejemplo de cómo hacer las cosas mal en general), una empresa grande, que ha ganado mucho dinero, y que siempre va atrasada usando Unity, a saber cómo lo solventan por que queda un mes para el lanzamiento oficial.

Debe ser algo fuerte cómo para retirar juegos.

Recibí el correo ayer y me pareció muy extraño recibir un correo tan importante sobre seguridad al mismo tiempo que insisten en que no hay evidencia de explotación o vulnerabilidad en ningun usuario.

Claramente el bug tiene que ser gordo si han desplegado parches para todas las versiones de unity desde 2019 (no te obligan a pasar a Unity6, pero si al menos a 2019), por tanto no es un movimiento pensado para que pases a Unity6 que tiene otras condiciones diferentes (tras el escandalo conocido).

Pero bueno, retirar los juegos me parece excesivo.
Se recompila con el parche, update pequeña que descargar en Steam o en la store correspondiente con el fix aplicado y a correr.

https://unity.com/es/security/sept-2025-01

no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

HP el del PC Fútbol 8 dirá que está hecho con Unity y nos dará mas largas

Riwer escribió:Recibí el correo ayer y me pareció muy extraño recibir un correo tan importante sobre seguridad al mismo tiempo que insisten en que no hay evidencia de explotación o vulnerabilidad en ningun usuario.

Claramente el bug tiene que ser gordo si han desplegado parches para todas las versiones de unity desde 2019 (no te obligan a pasar a Unity6, pero si al menos a 2019), por tanto no es un movimiento pensado para que pases a Unity6 que tiene otras condiciones diferentes (tras el escandalo conocido).

Pero bueno, retirar los juegos me parece excesivo.
Se recompila con el parche, update pequeña que descargar en Steam o en la store correspondiente con el fix aplicado y a correr.

https://unity.com/es/security/sept-2025-01

Que no haya evidencia de explotación es porque todavía no lo han detectado. Pero seguro que si han detectado la vulnerabilidad es que alguna PoC les ha llegado por parte de "Discovered By: RyotaK of GMO Flatt Security Inc." como dice en tu enlace. Un japonés que trabaja para una empresa de ciberseguridad.

https://flatt.tech/research/posts/arbit ... y-runtime/

Espero que también parcheen versiones antiguas como la 4, pues hay algunas aventuras graficas muy chulas que es una lastima que tengan este problema.

¿Desde 2017? y estos eran los que querían cobrar por descarga

Estaban muy ocupados estudiando como cobrar a los desarrolladores por instalaciones en lugar de detectar cosas como estas.

cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga

Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.

JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?

silfredo escribió:

JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?

Las interacciones preceptivas con las metáforas cromáticas son secundarias cuando la magnitud del hecho radica en lo inmutable de la incertidumbre sistémica, abordada desde una perspectiva cataclísmica del ángulo polar. Sin embargo, el desenlace de tales proposiciones no debería exceder el umbral de la veracidad encapsulada en la percepción del observador.



PD: Cuida tus comentario "pavo" porque te pongo fino filipino.

Espléndido.

Habría sido la leche que hubiese servido la vulnerabilidad para hackear PS5 o Switch 2.
Algún juego iba a pasar casualmente a ser el más vendido de la historia.

Acheedz escribió:

La urgencia de Unity a la hora de pedir a los desarrolladores que tomen medidas se debe tanto al alcance de la vulnerabilidad como al riesgo que supone. Según la descripción de CVE, una aplicación creada con una versión vulnerable de Unity permite a un atacante ejecutar código y sustraer información confidencial del equipo en el que se ejecuta esa aplicación.

Un palo bastante duro, y desde el desconocimiento, pregunto: ¿Qué supone actualizar el motor siendo desarrollador? ¿Habría que reestructurar todo el código o sería ajustar parámetros concretos sin tener que profundizar mucho? Para desarrolladoras independientes con pocos trabajadores tiene que ser un palazo, y habrá juegos por ahí que se siguen jugando aunque lleven años sin actualizaciones, y a saber si el desarrollador está dispuesto a actualizar el motor.

Por otro lado, como ejemplo, se me ocurre Escape from Tarkov (el vivo ejemplo de cómo hacer las cosas mal en general), una empresa grande, que ha ganado mucho dinero, y que siempre va atrasada usando Unity, a saber cómo lo solventan por que queda un mes para el lanzamiento oficial.

Como developer en los que trabaja en unity3d entre otros motores, afecta dependiendo.

Si te puedes mantener en la misma versión de unity (2017, 2019, 2020, etc) pues dependiendo el parche del motor. El problema viene cuando pegas un salto de 2017 a 2020 o versiones bastantes superiores. Se te puede ir el proyecto al garete a niveles de tener que programar de cero muchas partes y si dependías de plugins, assets, etc, que no son compatibles con versiones superiores estas bien jodido.

Por eso hablan de la noticia de versiones de 2017 de Unity, hay muchas apps que siguen funcionando en versiones antiguas porque no renta subirlas a versiones superiores, sería como empezar de cero.

Nosotros tardamos 4 meses en pasar una app de empresa de la versión 2019 a la 2022, una autentica pesadilla, sobre todo para corregir errores.

Me he dado cuenta al interesarme por el Wasteland 3, juego que tengo en la biblioteca de Steam desde hace tiempo, el caso es que siempre quise los dlc's y me ha dado por buscar en Steam a ver con las ofertas a como salían, para mi sorpresa el juego base ya no está en la tienda, solo está la "Colorado Edition" que trae el juego base y los dlc's, lo gracioso viene cuando hay usuarios que han tratado de comprar la Colorado Edition esta y cuando van a instalar descubren que el juego base no está... Es decir, no pueden jugar

He estado leyendo el tema y a alguno le ha pasado eso, ya tiene que ser serio para que hagan estas cosas.

elneocs escribió:

cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga

Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.

La pregunta del millón es desde cuándo sabian y no habian dicho nada, hay mucho margen desde 2017 a la fecha.

cuervoxx escribió:

elneocs escribió:

cuervoxx escribió:¿Desde 2017? y estos eran los que querían cobrar por descarga

Por lo menos esta vez estan haciendo lo correcto, notificando publicamente a todos los devs y que actualicen sus apps. Unity es demasiado masivo y no solo se usa en juegos, hay apps como Quixel Mixer que corren en unity.

La pregunta del millón es desde cuándo sabian y no habian dicho nada, hay mucho margen desde 2017 a la fecha.

Alli ya es no pensar mal (que esta dificil con ellos ), seguramente han encontrados muchos casos donde se repetian las mismas constantes e investigando dieron con el bug. De momento he leido a muchos DEVs y es variable las situaciones. Algunos llaman a la calma y que el problema requiere de mas instancias para ser un peligro (tener el SO ya comprometido por ejemplo) y otros exponiendo lo que algunos han comentado aqui y es que no es facil parchear dependiendo del proyecto y como fue desarrollado. Este mensaje en X explica bien el problema para entender mejor el contexto.

Veamos porque lo usa baten kaitos remaster y el origins y las herramientas de traducción funcionan con las versiones de entonces.
El que va similar es el tal fantasian que creo que la traducción está a nada de salir, con archivos dentro de bundles.
El bkr aunque siga con bugs no los arreglan ya

Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto

Pues esto es una jodienda, porque sí, muchos devs van a actualizar sus juegos, pero hay muchísimos juegos completamente abandonados que no reciben actus desde hace más de 5 años y no las van a recibir, lo que convierte a todos esos juegos en agujeros de seguridad.

Funk escribió:Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto

Eso es justo lo que más me ha mosqueado de la noticia. Se supone exactamente lo que has dicho, que un juego solo tenga acceso a determinadas carpetas del juego. Ahora bien, si la vulnerabilidad es catastrófica, igual desde esas carpetas el atacante puede saltar a otras en las que en principio no tenía acceso. Es lo único que se me ocurre pero claro, tampoco han dicho (por cuestiones de seguridad), cómo es el fallo realmente.

Santi RC escribió:Aunque sea una mala noticia, buena reacción por parte de todos.

Efectivamente. Al menos no parece una cosa complicada y la reacción es la correcta. Ahora a todo el mundo le toca compilar cada juego o app con el nuevo motor actualizado de Unity y volverlo a subir a las plataformas.

Kiba-kun escribió:Pues esto es una jodienda, porque sí, muchos devs van a actualizar sus juegos, pero hay muchísimos juegos completamente abandonados que no reciben actus desde hace más de 5 años y no las van a recibir, lo que convierte a todos esos juegos en agujeros de seguridad.

Lamentablemente, eso es cierto. Afortunadamente, las tiendas están tomando medidas adicionales de seguridad como por ejemplo la plataforma Steam. Quizás no sean capaces de mitigar el fallo por completo pero algo conseguirán.

Un saludo,

BY DERHYUS.

No puede ser,.otro retraso del Pc Futbol 8.

La hostia! Desde el 2017!

JoseAtk escribió:

silfredo escribió:

JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Ya ese pavo uso la carta de siksong para el siguiente retraso?

Las interacciones preceptivas con las metáforas cromáticas son secundarias cuando la magnitud del hecho radica en lo inmutable de la incertidumbre sistémica, abordada desde una perspectiva cataclísmica del ángulo polar. Sin embargo, el desenlace de tales proposiciones no debería exceder el umbral de la veracidad encapsulada en la percepción del observador.



PD: Cuida tus comentario "pavo" porque te pongo fino filipino.

hombre, yo creo que es bastante evidente que el comentario que citas en realidad queria citar al post debajo tuya y no al tuyo mismo

Me surgen varias dudas:

1. ¿El unico que puede parchear el fallo es el creador del juego? Porque hay rulando por ahi miles de juegos indie hechos con unity cuyo ultima version es de hace años y el desarrollador ya esta a otras cosas, por lo que a efectos practicos ese juego ya no se puede usar por el riesgo que supone. En esos juegos suele haber varios archivos del motor unity UnityEngine.dll, UnityPlayer.dll , UnityCrashHandler64.exe, etc, si el desarrollador no lo hace ¿es posible que los usuarios podamos parchear el juego sustituyendo la version de unity del juego por la version sin el bug o esta embebido en el codigo compilado y eso solo puede hacerlo en creador?

2. ¿como funciona exactamente el fallo? ¿Debe ejecutarse el juego para que unity este en memoria y entonces el programa malicioso lo use? ¿o basta con tener el juego instalado en el disco y los archivos de unity vulnerables para que el malware los encuentre y los use para ejecutar el exploit?

Coño qué susto, todavía existe Unity? Pensaba que se suicidaron con muchísima violencia con aquel cambio en el pircing.

Mala hierba nunca muere eh.

Estos tambien eran del fondo saudí, no?
La generación que viene va a ser nefasta.

En resumen, si lo he entendido bien, el problema viene del acceso nivel kernel que le damos NOSOTROS a los videojuegos por los anticheats.

Ese acceso permite a los videojuegos hacer lo que quieran. Si alguien consigue infectar un videojuego con ese acceso instalado en tu ordenador (con lo que tiene acceso directo o ya ha infectado tu ordenador) podría usar este fallo para conseguir los privilegios administrador con acceso al kernel y comprometer todo tu equipo.

Entonces, ¿por qué hay que parchear todos los juegos de unity?

Por otra parte, ¿hay alguna lista de juegos afectados y no parcheados? Para ir desinstalando o reinstalando.

Lugal escribió:Como developer en los que trabaja en unity3d entre otros motores, afecta dependiendo.

Si te puedes mantener en la misma versión de unity (2017, 2019, 2020, etc) pues dependiendo el parche del motor. El problema viene cuando pegas un salto de 2017 a 2020 o versiones bastantes superiores. Se te puede ir el proyecto al garete a niveles de tener que programar de cero muchas partes y si dependías de plugins, assets, etc, que no son compatibles con versiones superiores estas bien jodido.

Por eso hablan de la noticia de versiones de 2017 de Unity, hay muchas apps que siguen funcionando en versiones antiguas porque no renta subirlas a versiones superiores, sería como empezar de cero.

Nosotros tardamos 4 meses en pasar una app de empresa de la versión 2019 a la 2022, una autentica pesadilla, sobre todo para corregir errores.

Claro, lo serio seria que metiesen en el parche en todas las versiones, en vez de pasar el marrón a los desarrolladores

Tengo una duda seria: ¿qué pasa con aquellos juegos que tengas en tu biblioteca pero cuyos desarrolladores decidan no hacer una mierda? ¿Les pondrá Steam un aviso o algo cuando vayas a instalarlos, o te comerás la vulnerabilidad sin saberlo si los instalas dentro de unos meses, por ejemplo? Porque supongo que si no los parchean, los quitarán de la tienda, pero ¿y si ya los tienes comprados?

Funk escribió:Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto

Pues depende del juego.
Pero ahora por ejemplo están de moda los anti cheat a nivel Kernel, y ahí ya tienes un problema grave de seguridad.

Yo por eso nunca me fío de esos anti cheats modernos que tienen acceso a todo.

pacopolo escribió:Tengo una duda seria: ¿qué pasa con aquellos juegos que tengas en tu biblioteca pero cuyos desarrolladores decidan no hacer una mierda? ¿Les pondrá Steam un aviso o algo cuando vayas a instalarlos, o te comerás la vulnerabilidad sin saberlo si los instalas dentro de unos meses, por ejemplo? Porque supongo que si no los parchean, los quitarán de la tienda, pero ¿y si ya los tienes comprados?

Lo más lógico y fácil es que Steam, por citar una tienda, ponga un aviso en cada juego vulnerable con la advertencia de que no ha sido parcheado. Y ya tu, cómo usario, te arriesgas o no. Algo parecido a lo que hace chrome cuando se intenta ejecutar en un SO desactualizado o obsoleto, estilo win7. Te avisa que no recibe actualizaciones, que puede dar problemas de seguridad etc etc etc

@cuervoxx No diré donde se comenta, pero PARECE que lo sabían desde hace tiempo y que el anuncio público ha sido consecuencia directa de la aparición de cierto software que usa dicha vulnerabilidad. De echo en ese lugar,apartado de la vista de casi todos, donde no da la luz, dicho software está ya disponible y a la venta por una buena cantidad de leuros. En este caso no es un tema de piratillas, si no de ciberdelincuencia de la chunga. Y cómo se decía en el 1,2,3 de RTVE, "hasta aquí puedo leer".

Menudo desastre para todos los juegos en los que sus desarrolladores no lo vayan a actualizar... por suerte no soy de jugar a juegos viejos pero si lo fuera no estaría tranquilo, porque esto deja a los cracker objetivos bastante claros.

Y supongo que se hará (si no se ha hecho ya) una lista de los juegos Unity sin parchear porque esto es algo que aunque le ayude a los crackers sobre todo significa seguridad para los jugadores. Aunque lo mas normal es que de esto no se entere el 99% de jugadores con lo cual me parece difícil prevenirlo en los casos de abandono de juegos si el usuario no puede hacer nada mas que no jugarlo.

JoseAtk escribió:no lo sabian o ya tienen lo que quieren?, a mi no me toman el pelo ya nadie.

Seguro que no te toman el pelo porque el gorro de plata que te pones

Qué es lo que quieren según tú? Qué nivel de conspiranoia, no sé si sabes de lo que hablas a nivel desarrollo (porque tiene toda la pinta que no), pero justo encima de tu mensaje tienes tienes un mensaje de un forero que sí parece que sabe del tema y ha explicado claramente que este bug no parece premeditado para forzar a actualizar a la versión 6 de Unity (la que generó polémica).

Será que querían mala fama

DERHYUS escribió:

Funk escribió:Como es posible que un MOTOR GRAFICO pueda tener acceso a datos sensibles del usuario... debería tener acceso al hardware que lo usa, a las carpetas del juego y/o temporales que pueda crear y punto

Eso es justo lo que más me ha mosqueado de la noticia. Se supone exactamente lo que has dicho, que un juego solo tenga acceso a determinadas carpetas del juego. Ahora bien, si la vulnerabilidad es catastrófica, igual desde esas carpetas el atacante puede saltar a otras en las que en principio no tenía acceso. Es lo único que se me ocurre pero claro, tampoco han dicho (por cuestiones de seguridad), cómo es el fallo realmente.

@Funk el motor gráfico corre junto al juego, al que si le das permisos de administración puede hacer lo que le "permitas" hacer a tu usuario admin, que es mucho (no todo por eso).

@DERHYUS el juego puede estar desarrollado para que solo escriba/borre ficheros en la carpeta donde el juego guarda las partidas grabadas, pero si hay un fallo de seguridad puede hacer que un tercero (el autor del ataque malicioso) se haga con el control del ejecutable del juego y pueda hacer todo lo que el juego le dejes hacer (que como ejecutes en admin y tengas la suerte de caer en un ataque así la has cagado).

Jormavio escribió:En resumen, si lo he entendido bien, el problema viene del acceso nivel kernel que le damos NOSOTROS a los videojuegos por los anticheats.

Ese acceso permite a los videojuegos hacer lo que quieran. Si alguien consigue infectar un videojuego con ese acceso instalado en tu ordenador (con lo que tiene acceso directo o ya ha infectado tu ordenador) podría usar este fallo para conseguir los privilegios administrador con acceso al kernel y comprometer todo tu equipo.

Entonces, ¿por qué hay que parchear todos los juegos de unity?

A lo que se le da acceso nivel kernel no es a los juegos sino al anti cheat. Lo que deberían atacar a nivel de seguridad es por tanto el anti cheat y no el juego, cosa que aquí no ha pasado.

Luego, independientemente de eso, incluso juegos sin anti cheat, tú puedes ejecutarlo como admin, o el juego necesitar ejecutarse como admin (si el desarrollador así lo fuerza), eso es otro tema. Aquí sí está afectado este caso del Unity, y depende del juego lo que podría hacer es modificar cualquier cosa que a nivel de usuario que ejecuta el juego pueda hacer (y eso incluye cosas importantes pero no críticas del sistema como por ejemplo borrar las fotos de tus vacaciones o lo que cada uno considere importante).

Hay que parchear todos los juegos de unity porque el fallo está en el juego con la versión sin parchear de unity (que antes de la publicación de esta noticia eran todos). Esto no trata solo de juegos con anti cheat, que también pueden estar afectados (pero no por el anti cheat propiamente sino si han sido desarrollados con unity).

pacopolo escribió:Porque supongo que si no los parchean, los quitarán de la tienda, pero ¿y si ya los tienes comprados?

Si steam (o cualquier otro launcher donde tengas juegos unity) no hacen nada (cosa que desconozco), nos toca a nosotros informarnos antes de jugar a un juego Unity para saber si está actualizado o no.

Creo que mas de uno lo ha comentado, ni idea de si hay una lista de juegos sin actualizar pero debería de haber para mayor seguridad de los jugadores, si no jugar a un juego de unity será estar pensando en arriesgarse en que te hackeen el PC/movil.

Lo mas seguro es que antes de jugar a juego unity que no sabemos si está parcheado se haga en una nueva instalación de Windows donde no tenga acceso a nada personal o importante que no quieras perder (o en su defecto en una máquina virtual, pero aquí el rendimiento está mas jodido). Pero claro, dile a un videojugador medio que haga estas cosas por un tema de seguridad... se la va a sudar bastante. 1º que se entere de esto, que ya lo veo complicado.

Rvilla87 escribió:Menudo desastre para todos los juegos en los que sus desarrolladores no lo vayan a actualizar... por suerte no soy de jugar a juegos viejos pero si lo fuera no estaría tranquilo, porque esto deja a los cracker objetivos bastante claros.

Y supongo que se hará (si no se ha hecho ya) una lista de los juegos Unity sin parchear porque esto es algo que aunque le ayude a los crackers sobre todo significa seguridad para los jugadores. Aunque lo mas normal es que de esto no se entere el 99% de jugadores con lo cual me parece difícil prevenirlo en los casos de abandono de juegos si el usuario no puede hacer nada mas que no jugarlo.

Dado que la gran mayoría de usuarios de PC juegan a través de tiendas, lo más eficiente es el bloqueo temporal si no está parcheado y una advertencia al que quiera instalarse el juego una vez pasado un tiempo prudencial dado a los devs para parchearlo.

Pues yo no veo esto normal.
Hay miles de juego antiguos que están "abandonados" en el sentido de que no se parchean, pero los "desarrolladores" ya sea un equipo o una persona siguen "vivos" aplicando ofertas para todos estos juegos cuando llegan las ofertas de Steam, pero sin embargo no están vivos para aplicar un simple parche que les tomará a la gran mayoría no más de una hora (y que si bien a alguno podría darle algún problema a la gran mayoría con esto ya valdría).
Está claro que ni a Steam le importan los usuarios, dejando que se instalen juegos potencialmente peligrosos y a los desarrolladores tampoco, tomando su tiempo para vender pero no para cuidar a sus posibles compradores.

SOLUCION: Steam da un tiempo a estos desarrolladores ¿una semana? ¿un mes?, a aplicar un parche que les tomará una hora hacerlo, o se quitará el juego de la tienda hasta que lo apliquen.
Entonces ya se vería como el 80%-90% de los juegos se actualizaban inmediatamente....

Rvilla87 escribió:@DERHYUS el juego puede estar desarrollado para que solo escriba/borre ficheros en la carpeta donde el juego guarda las partidas grabadas, pero si hay un fallo de seguridad puede hacer que un tercero (el autor del ataque malicioso) se haga con el control del ejecutable del juego y pueda hacer todo lo que el juego le dejes hacer (que como ejecutes en admin y tengas la suerte de caer en un ataque así la has cagado).

¡Cierto! Aunque en ese caso dependerá del UAC que tengas configurado en Windows. Según el nivel de cambios o privilegios, con un UAC "porculero", de esos de los que te salta la ventanita cada dos por tres te puedes librar de una buena en este caso concreto, pero sí, llevas razón en lo que has comentado.

Un saludo,

BY DERHYUS.