Un problème de validation de chaîne d'entrée a été identifié, susceptible de conduire à l'exécution de code à distance (RCE), permettant à un attaquant d'exécuter potentiellement du code à distance sur l'ordinateur de l'utilisateur.

Non. Seul l’éditeur Unity est concerné.

Windows seulement. Les plateformes Mac et Linux ne sont pas affectées par la vulnérabilité identifiée.

Toutes les versions de Windows.

Toutes les versions de Unity Editor fonctionnant sous Windows.

Nous avons publié un correctif pour les dernières versions 5.6 de Unity Editor et toutes les versions officiellement prises en charge jusqu'à 2019.2 Alpha. La mise à jour sera intégrée à toutes les versions futures.

Unity publiera un seul correctif pour chacune des mises à jour les plus récentes, c'est-à-dire la dernière mise à jour de l'éditeur Unity.

Nous fournissons un outil d'atténuation qui désactive la fonctionnalité vulnérable identifiée de l'éditeur Unity qui peut être téléchargé à partir duGuide de l'outil d'atténuation [7].

Veuillez prendre en compte que l'atténuation n'est pas un correctif et comporte des limites. L'atténuation désactivera la fonctionnalité de l'éditeur Unity identifiée comme vulnérable, mais comme nous ne pouvons pas contrôler si la fonctionnalité affectée sera réactivée à un moment donné après l'application de l'atténuation, nous vous recommandons fortement de mettre à jour vers une version fixe de l'éditeur Unity pour bénéficier des avantages. du patch complet. Vous ne pourrez également plus utiliser la fonctionnalité « Ouvrir dans Unity » dans la version du navigateur Web d'Asset Store après avoir appliqué l'atténuation.

L'outil d'atténuation peut être utilisé sur toutes les versions concernées de l'éditeur Unity.

Veuillez prendre en compte que l'atténuation n'est pas un correctif et comporte des limites. L'atténuation désactivera la fonctionnalité de l'éditeur Unity identifiée comme vulnérable, mais comme nous ne pouvons pas contrôler si la fonctionnalité affectée sera réactivée à un moment donné après l'application de l'atténuation, nous vous recommandons fortement de mettre à jour vers une version fixe de l'éditeur Unity pour bénéficier des avantages. du patch complet. Vous ne pourrez également plus utiliser la fonctionnalité « Ouvrir dans Unity » dans la version du navigateur Web d'Asset Store après avoir appliqué l'atténuation.

Non, en l'exécutant une fois qu'il a désactivé le composant vulnérable identifié sur chacun d'eux. Gardez à l’esprit qu’en réinstallant ou en mettant à jour (une) des versions, cela peut réactiver le composant. Pour vérifier, réexécutez l'outil de solution de contournement jusqu'à ce que toutes les versions soient à jour.

L'atténuation désactivera la fonctionnalité de l'éditeur Unity identifiée comme vulnérable, mais comme nous ne pouvons pas contrôler si la fonctionnalité affectée sera réactivée à un moment donné après l'application de l'atténuation, nous vous recommandons fortement de mettre à jour vers une version fixe de l'éditeur Unity pour bénéficier des avantages. du patch complet. Vous ne pourrez également plus utiliser la fonctionnalité « Ouvrir dans Unity » dans la version du navigateur Web d'Asset Store après avoir appliqué l'atténuation.

Notre objectif actuel est de remédier à la vulnérabilité identifiée dans la version 5.6 et dans toutes les versions officiellement prises en charge jusqu'à la version 2019.2 Alpha. Nous n'avons aucun détail à partager sur les correctifs pour les autres versions pour le moment.

Cela dépend de la version spécifique de l'éditeur Unity que vous utilisez. La plupart des clients pourront mettre à jour les versions corrigées sans avoir besoin de reconstruire leurs offres groupées, mais certains clients peuvent constater que les importateurs d'actifs ont été mis à jour entre la version qu'ils utilisent actuellement et le correctif de cette version ponctuelle. Pour ces clients, la reconstruction du groupe d’actifs peut être nécessaire.

Vous devrez peut-être reconstruire vos bundles si des actifs sont réimportés lorsque vous ouvrez votre projet pour la première fois dans la version corrigée de l'éditeur Unity.