Unity Runtime: Argument Injection ermöglicht Laden von Bibliothekscode

Beschreibung

Die Unity Runtime vor dem 2. Oktober 2025 erlaubt unter Android, Windows, macOS und Linux eine Argument-Injection, die zum Laden von Bibliothekscode aus einer nicht vorgesehenen Quelle führen kann. Wurde eine Anwendung mit einer betroffenen Version des Unity Editors gebaut, kann ein Angreifer dadurch Code auf dem Zielsystem ausführen und vertrauliche Informationen exfiltrieren. Laut Quelle behebt eine Aktualisierung des Unity Editors die Auswirkung nicht automatisch – betroffene Anwendungen müssen neu gebaut und neu ausgeliefert werden. Die Ausnutzung erfordert lokalen Zugriff, aber keine Authentifizierung oder Nutzerinteraktion (CVSS-Vektor: AV:L/AC:H/PR:N/UI:N). CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: betroffene Anwendungen mit einer nicht verwundbaren Unity-Runtime-Version neu bauen und neu ausliefern.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Dell EMC (PowerStore/Isilon/Unity)

• Dell RecoverPoint for Virtual Machines – Use of Hard-coded Credentials KEV CVE-2026-22769
• Dell dbutil-Treiber – Unzureichende Zugangskontrolle KEV CVE-2021-21551
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• CVE-2020-12695 – Sicherheitslücke bei Axis Communications CVE-2020-12695
• Dell PowerFlex: Improper Link Resolution ermöglicht Remote Code Execution CVE-2024-37143
• CVE-2023-4804 – Quantum HD Unity: Ungeschützter Zugriff auf Debug-Funktionen CVE-2023-4804