اطلاعیه امنیتی یونیتی: آسیب‌پذیری بحرانی در نسخه‌های قدیمی موتور بازی‌سازی Unity

تیم امنیتی Unity اخیراً آسیب‌پذیری مهمی را در برخی نسخه‌های ویرایشگر (Editor) این موتور شناسایی و برطرف کرده است. این حفره امنیتی می‌تواند در شرایط خاص، باعث اجرای کد مخرب یا دسترسی غیرمجاز به اطلاعات محلی سیستم شود.
گرچه تا این لحظه هیچ گزارشی از سوء‌استفاده یا نفوذ واقعی از این آسیب‌پذیری منتشر نشده، اما Unity اعلام کرده است که به‌روزرسانی‌های امنیتی لازم منتشر شده و برای تمامی توسعه‌دهندگان در دسترس است.

جزئیات آسیب‌پذیری

• شناسه (CVE): CVE-2025-59489

• تاریخ کشف: ۴ ژوئن ۲۰۲۵

• کشف‌شده توسط: RyotaK از شرکت امنیتی GMO Flatt Security Inc.

• تاریخ انتشار وصله امنیتی: ۲ اکتبر ۲۰۲۵

• نوع آسیب‌پذیری: CWE-426 – مسیر جست‌وجوی غیرقابل‌اعتماد (Untrusted Search Path)

• شدت: بالا (High)

• امتیاز CVSS: 8.4

• بردار حمله:
  CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

پتانسیل سوء‌استفاده

این نقص می‌تواند به مهاجم محلی اجازه دهد تا در برنامه‌های ساخته‌شده با نسخه‌های آسیب‌پذیر Unity:

• کد دلخواه را اجرا کند،

• به داده‌های محرمانه دسترسی یابد،

• و در برخی موارد، سطح دسترسی خود را افزایش دهد.

البته اجرای کد محدود به سطح دسترسی خود برنامه آسیب‌پذیر خواهد بود، و خطر فقط در همان محدوده وجود دارد.

نسخه‌های آسیب‌پذیر و اصلاح‌شده Unity

برنامه‌هایی که با نسخه‌های زیر از Unity ساخته شده‌اند، در برابر این آسیب‌پذیری آسیب‌پذیر هستند، مگر اینکه با نسخه‌های "Patched" مجدداً ساخته شوند.

نسخه‌های در حال پشتیبانی

نسخه‌های خارج از پشتیبانی (قدیمی)

Unity حتی برای نسخه‌های خارج از پشتیبانی نیز وصله‌هایی ارائه کرده است (از Unity 2019.1 به بعد).
به‌عنوان نمونه:

سیستم‌عامل‌های تحت‌تأثیر

نکته: در سیستم‌عامل Windows، وجود یک URI Handler سفارشی برای برنامه ممکن است احتمال بهره‌برداری را افزایش دهد. Unity توصیه می‌کند توسعه‌دهندگانی که از این قابلیت استفاده کرده‌اند با بخش امنیتی شرکت تماس بگیرند (security@unity3d.com).

روند کشف

این آسیب‌پذیری توسط یکی از پژوهشگران امنیتی خارج از شرکت شناسایی و به‌صورت مسئولانه گزارش شد. Unity نیز پس از بررسی، در سریع‌ترین زمان ممکن آن را رفع کرده است.

مراحل رفع مشکل

1. بازسازی برنامه

آخرین نسخه Unity Editor را نصب کنید، سپس برنامه خود را دوباره Build و Deploy کنید تا از کتابخانه‌های اصلاح‌شده استفاده شود.

2. استفاده از ابزار Binary Patch

اگر بازسازی کامل ممکن نیست، می‌توانید از ابزار رسمی Unity Binary Patch برای جایگزینی کتابخانه‌های آسیب‌پذیر با نسخه‌های اصلاح‌شده استفاده کنید.

نسخه‌های اصلاح‌شده

لیست مستقیم نسخه‌های دارای وصله امنیتی در وب‌سایت رسمی Unity موجود است. توسعه‌دهندگان توصیه می‌شود در اسرع وقت پروژه‌های خود را با این نسخه‌ها به‌روزرسانی و مجدداً منتشر کنند.

جمع‌بندی

اگرچه این آسیب‌پذیری هنوز به‌صورت عمومی مورد سوء‌استفاده قرار نگرفته است، اما به‌دلیل شدت بالا و گستردگی نسخه‌های آسیب‌پذیر، توصیه می‌شود تمامی توسعه‌دهندگان Unity هرچه سریع‌تر پروژه‌های خود را با نسخه‌های جدید بازسازی کنند.
امنیت کاربران و بازی‌ها مستقیماً به به‌روزرسانی به‌موقع موتور بازی‌سازی وابسته است.