Résumé

Une vulnérabilité dans la bibliothèque de compression Brotli open-source de Google (CVE-2026-111497) a été divulguée publiquement le 21 octobre 2026. Une application n'est exposée que si elle décompresse des données Brotli contrôlées par un attaquant, en appelant System.IO.Compression.BrotliStream ou BrotliDecoder, ou en utilisant System.Net.Http.HttpClient avec la décompression Brotli activée. Les API de réseau et de chargement d'actifs propres à Unity, y compris UnityWebRequest et AssetBundles, n'utilisent pas le décodeur Brotli. Lorsqu'une application est exposée, un flux Brotli spécialement conçu peut la faire planter ou potentiellement exécuter du code au niveau de privilège de l'application.

Le client du Unity Package Manager, qui est inclus avec l'éditeur Unity, contient également la bibliothèque affectée et pourrait être impacté si les utilisateurs téléchargent des paquets à partir d'un registre de paquets malveillant ou compromis. Les développeurs devraient mettre à jour vers une version de l'Éditeur corrigée.

Il n'existe aucune preuve que cette vulnérabilité ait été exploitée dans les applications Unity, et aucun impact sur les utilisateurs ou les clients n'a été identifié. Unity publie le correctif en amont dans les prochaines versions de l'Éditeur.

Détails de la faille

CVE ID: CVE-2026-111497

Composant: Décodeur Brotli dans les bibliothèques de classes .NET fournies avec le Runtime Unity (Mono libmono-native, IL2CPP, CoreCLR)

Version affectée en amont: Brotli 1.0.3 à 1.2.0

Versions fixes en amont: Brotli 1.0.10, 1.1.1, 1.2.1

Date rendue publique: 21 octobre 2026

Date du correctif Brotli disponible: 21 octobre 2026

Versions concernées: Voir le tableau des versions de l'éditeur Unity

Type de vulnérabilité: Dépassement de tampon dans le décodeur Brotli CWE-787

Score CVSS: 9.2

Chaîne de vecteur CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Potentiel d'exploitation

Un attaquant capable de faire décompresser un flux Brotli fabriqué par une application Unity pourrait la faire planter ou potentiellement exécuter du code avec les privilèges de l'application.

Exposé: l'application transmet des données qu'elle reçoit d'une source non fiable (réponses réseau, téléchargements d'utilisateurs, User Generated Content, serveurs tiers) à BrotliStream ou BrotliDecoder, ou utilise HttpClient avec la décompression automatique Brotli activée. Ceci inclut l'utilisation à l'intérieur de bibliothèques et de plugins tiers dans votre projet.

Applications non exposées: qui ne décompressent jamais les données Brotli, ou ne décompressent que les données Brotli qu'elles ont créées et contrôlent. UnityWebRequest n'utilise pas Brotli. Les AssetBundles et d'autres formats d'archive Unity prennent en charge uniquement LZ4, LZ4HC et LZMA. Le chargement de polices d'Unity n'utilise pas Brotli.

Unity Editor: l'Éditeur n'utilise pas le décodeur Brotli d'une manière exploitable, à une exception. Le client du Unity Package Manager décompresse les réponses du registre avant de vérifier les signatures des paquets, un registre de portée malveillant ou usurpé pouvant déclencher la vulnérabilité. Sur Windows et Mac, les protections binaires limitent l'impact à un crash. Sur Linux, l'exécution de code peut être possible.

Il n'existe aucune preuve que cette vulnérabilité ait été exploitée dans les applications Unity.

Plateformes affectées

Le décodeur Brotli fait partie des bibliothèques de classes .NET qui sont incluses avec chaque Player Unity, sur toutes les plateformes et tous les backends de script (Mono, IL2CPP, CoreCLR). Que l'application soit affectée dépend du fait qu'elle décompresse des données Brotli non fiables via les API ci-dessus, et non de la plateforme sur laquelle elle s'exécute.

Tableau de version de l'éditeur Unity

Les applications construites avec la version énumérée de l'éditeur Unity avant la version corrigée sont considérées comme vulnérables si elles remplissent les conditions ci-dessus.

Les versions mises à jour sont en cours pour Unity 6000.0 et ultérieures. Ce tableau sera mis à jour à chaque version corrigée publiée. Dernière mise à jour : 28 octobre 2026.

Autres produits Unity

Découverte

Cette vulnérabilité se trouve dans la bibliothèque open-source Brotli de Google et a été divulguée publiquement. Cela n'a pas été signalé directement à Unity. L'équipe de sécurité de Unity a identifié les copies affectées de Brotli dans les bibliothèques de classes du Runtime Unity dans le cadre de sa réponse.

Étapes de correction

Reconstruire L'Application

Mettez à jour l'éditeur Unity vers la version patchée pour votre ligne de publication (voir le tableau des versions de l'éditeur Unity), puis reconstruisez et redéployez l'application. Le décodeur est expédié à l'intérieur de l'application construite, donc la mise à jour de l'Éditeur sans reconstruire ne corrige pas les applications déjà expédiées.

Si Vous Ne Pouvez Pas Mettre à Jour Encore

Vérifiez votre projet, y compris les bibliothèques tierces et les plugins, pour l'utilisation de BrotliStream, BrotliDecoder ou HttpClient avec décompression automatique Brotli. Si aucun n'est présent, votre application n'est pas exposée. Si c'est le cas, supprimez l'utilisation ou arrêtez de transmettre des données non fiables à celui-ci jusqu'à ce que vous puissiez le reconstruire avec une version de l'Éditeur corrigée.

Pour le gestionnaire de paquets, évitez d'ajouter des registres de portée que vous ne contrôlez pas avant d'avoir mis à jour. Veuillez noter que le problème du certificat eMudhra (voir l'avis séparé) signifie qu'un registre de confiance pourrait être usurpé, donc la mise à jour de l'Éditeur est la seule solution complète.

Versions fixes Unity

Liens directs vers les premières versions fixes de l'éditeur Unity (qui incluent le runtime Unity).
Les liens seront ajoutés ici à chaque version corrigée qui sera publiée. Dernière mise à jour : 28 octobre 2026.