2019년 3월 보안 업데이트 권고(CVE-2019-9197)
취약점 세부 정보
CVE ID: CVE-2019-9197
유형 원격 코드 실행
발견 일자: 2022/10/03 8
에 의해 발견됨: rgod of 9sg 보안 팀 - 트렌드마이크로의 제로 데이 이니셔티브(Zero Day Initiative)와 함께 일하는 rgod@9sgsec.com
패치 가능 일자: 2023년 1월 30일 2019/03/04
영향을 받는 운영 체제: Windows
영향을 받는 버전: 모두(Windows)
심각도: 높다
패치 버전:
- [1] 2019.2.0a7 (Win), size= 795,664bytes, md5=6fcde1045cc4af7f84ba4f820f5db868
- [2] 2019.1.0b5 (Win), 크기 = 696,212kB, md5 : d2ec9e0dc974adfd0e465ffe2e3f1c23
- [3] 2018.3.7f1 (Win), size=570,279kB, md5=6fcde1045cc4af7f84ba4f820f5db868
- [4] 2018.2.21f1 (Win), size=580,009kB, md5=1b87b98c936c81148a99c879386e676c
- [5] 2017.4.22f1 (Win), size=527,486kB, md5=8cb0783f22dc5bfc80d2f170472aefbf
- [6] 5.6.7f1 (Win), size=554,855kB, md5=d761d8c151007ce2474ddc9d468abc02
Unity 에디터에서 Windows 플랫폼에 영향을 미치는 입력 문자열 유효성 검사 문제가 확인되어 RCE(원격 코드 실행)로 이어질 수 있으며, 이로 인해 공격자가 사용자의 컴퓨터에서 원격으로 코드를 실행할 수 있습니다.
문제 해결 단계
Unity 에디터 버전 확인
Unity 프로젝트를 엽니다.
Unity 버전은 기본 창 제목에 표시됩니다.

File(파일) 메뉴에서 Help -> About Unity(Unity 정보)를 선택합니다.

Unity 버전은 Unity 정보 창에 표시됩니다.

업데이트 설치
사용 중인 Unity 에디터 버전이 위의 취약점 세부 정보의 패치 버전 섹션에 나열된 버전이 아닌 경우 다음과 같이 업데이트 설치를 계속할 수 있습니다.
업데이트를 설치하려면 파일 메뉴의 도움말 -> 업데이트 확인에서 사용할 수 있는 Unity 에디터 업데이트 검사기를 사용할 수 있습니다.

또한 사용 중인 Unity 에디터 버전에 해당하는 패치를 다운로드하여 설치할 수 있습니다. 다운로드 링크는 Patch Versions of the Vulnerabilities Details(취약성 세부 정보 ) 섹션과 References(참조 ) 섹션에서 사용할 수 있습니다.
완화 도구
사용 중인 Unity 에디터 버전이 목록에 없거나 현재 업데이트를 설치할 수 없는 경우 완화 툴 가이드[7]를 사용할 수 있습니다.
권장되는 조치는 Unity 에디터의 고정 버전을 설치하는 것입니다.
FAQ
RCE(원격 코드 실행)로 이어질 수 있는 입력 문자열 유효성 검사 문제가 확인되어 공격자가 사용자의 컴퓨터에서 원격으로 코드를 실행할 수 있습니다.
아니요. Unity 에디터만 영향을 받습니다.
Windows 전용 Mac 및 Linux 플랫폼은 식별된 취약점의 영향을 받지 않습니다.
모든 버전의 Windows.
Windows에서 실행되는 모든 버전의 Unity 에디터.
유니티는 Unity 에디터의 최신 버전 5.6과 2019.2 알파 버전까지 공식적으로 지원되는 모든 버전에 대한 패치를 출시했습니다. 향후 모든 버전에도 해당 업데이트가 포함됩니다.
Unity는 최신 업데이트(예: Unity 에디터의 마지막 업데이트)에 대해 단일 패치를 출시할 예정입니다.
유니티는 Unity 에디터에서 식별된 취약한 기능을 비활성화하는 완화 툴을 제공하고 있으며, 완화 툴 가이드[7]에서 다운로드할 수 있습니다.
완화는 패치가 아니며 제한 사항이 있다는 점을 고려하세요. 완화 조치로 인해 취약한 것으로 확인된 Unity 에디터 기능이 비활성화되지만, 완화 조치를 적용한 후 특정 시점에 영향을 받는 기능이 다시 활성화될지 여부를 제어할 수 없으므로 전체 패치의 이점을 얻으려면 고정 버전의 Unity 에디터로 업데이트하는 것이 좋습니다. 또한 완화 조치를 적용한 후에는 에셋 스토어의 웹 브라우저 버전에서 'Unity에서 열기' 기능을 더 이상 사용할 수 없습니다.
완화 툴은 영향을 받는 모든 Unity 에디터 버전에서 사용할 수 있습니다.
완화는 패치가 아니며 제한 사항이 있다는 점을 고려하세요. 완화 조치로 인해 취약한 것으로 확인된 Unity 에디터 기능이 비활성화되지만, 완화 조치를 적용한 후 특정 시점에 영향을 받는 기능이 다시 활성화될지 여부를 제어할 수 없으므로 전체 패치의 이점을 얻으려면 고정 버전의 Unity 에디터로 업데이트하는 것이 좋습니다. 또한 완화 조치를 적용한 후에는 에셋 스토어의 웹 브라우저 버전에서 'Unity에서 열기' 기능을 더 이상 사용할 수 없습니다.
아니요, 한 번 실행하면 모든 구성 요소에서 식별된 취약한 구성 요소가 비활성화됩니다. 버전 중 (하나)를 다시 설치하거나 업데이트하면 구성 요소가 다시 활성화 될 수 있습니다. 확인하려면 모든 버전이 최신 상태가 될 때까지 해결 방법 도구를 다시 실행합니다.
완화 조치로 인해 취약한 것으로 확인된 Unity 에디터 기능이 비활성화되지만, 완화 조치를 적용한 후 특정 시점에 영향을 받는 기능이 다시 활성화될지 여부를 제어할 수 없으므로 전체 패치의 이점을 얻으려면 고정 버전의 Unity 에디터로 업데이트하는 것이 좋습니다. 또한 완화 조치를 적용한 후에는 에셋 스토어의 웹 브라우저 버전에서 'Unity에서 열기' 기능을 더 이상 사용할 수 없습니다.
현재 5.6 및 2019.2 알파까지 공식적으로 지원되는 모든 버전에서 확인된 취약점을 해결하는 데 중점을 두고 있습니다. 현재로서는 다른 버전의 패치에 대해 공유할 세부 정보가 없습니다.
사용 중인 Unity 에디터의 특정 버전에 따라 다릅니다. 대부분의 고객은 번들을 다시 빌드할 필요 없이 패치된 버전으로 업데이트할 수 있지만, 일부 고객은 현재 사용 중인 버전과 해당 dot-release에 대한 패치 간에 자산 가져오기가 업데이트되었음을 알 수 있습니다. 이러한 고객의 경우 자산 번들 재구축이 필요할 수 있습니다.
패치된 버전의 Unity 에디터에서 프로젝트를 처음 열 때 에셋을 다시 임포트하는 경우 번들을 다시 빌드해야 할 수 있습니다.