요약

구글의 오픈 소스 Brotli 압축 라이브러리(CVE-2026-111497)의 취약점이 2026년 10월 21일에 공개적으로 공개되었습니다. 공격자가 제어할 수 있는 Brotli 데이터를 압축 해제할 때만 애플리케이션이 노출되는데, 이는 System.IO.Compression.BrotliStream 또는 BrotliDecoder를 호출하거나 Brotli 압축 해제가 활성화된 System.Net.Http.HttpClient를 사용하는 경우입니다. Unity 자체의 네트워킹 및 에셋 로딩 API(UnityWebRequest 및 AssetBundles 포함)는 Brotli 디코더를 사용하지 않습니다. 애플리케이션이 노출된 경우, 조작된 Brotli 스트림으로 인해 애플리케이션이 충돌하거나 애플리케이션의 권한 수준에서 코드가 실행될 수 있습니다.

Unity 에디터 포함된 Unity 패키지 관리자 클라이언트에는 영향을 받는 라이브러리가 포함되어 있으며, 사용자가 악성 또는 손상된 패키지 레지스트리에서 패키지를 다운로드할 경우 영향을 받을 수 있습니다. 개발자들은 패치된 에디터 버전으로 업데이트해야 합니다.

이 취약점이 Unity 애플리케이션에서 악용되었다는 증거는 없으며, 사용자나 고객에게 미치는 영향은 확인되지 않았습니다. Unity 다가오는 에디터 릴리스에서 업스트림 수정 사항을 배포할 예정입니다.

취약점 세부 정보

CVE ID: CVE-2026-111497

컴포넌트 Unity 런타임에 포함된 .NET 클래스 라이브러리(Mono libmono-native, IL2CPP, CoreCLR)의 Brotli 디코더

상위 영향 버전: Brotli 1.0.3부터 1.2.0까지

상위 고정 버전: Brotli 1.0.10, 1.1.1, 1.2.1

공개된 날짜: 2026년 10월 21일

Brotli 패치 날짜 이용 가능: 2026년 10월 21일

영향을 받는 버전: Unity 에디터 버전 표 보기

취약점 유형: Brotli 디코더의 버퍼 오버플로우 CWE-787

CVSS 점수: 9.2

CVSS 벡터 문자열: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

악용 가능성

Unity 애플리케이션을 조작된 Brotli 스트림으로 압축 해제할 수 있는 공격자는 이를 충돌시키거나 애플리케이션의 권한으로 코드를 실행할 수 있습니다.

Exposed: 애플리케이션이 신뢰할 수 없는 출처(네트워크 응답, 플레이어 업로드, User Generated Content, 타사 서버)로부터 수신한 데이터를 BrotliStream 또는 BrotliDecoder에 전달하거나 Brotli 자동 압축 해제를 활성화한 HttpClient를 사용합니다. 이것은 프로젝트 내 타사 라이브러리 및 플러그인 사용을 포함합니다.

Not exposed: Brotli 데이터를 절대 압축 해제하지 않거나, 자신이 생성하고 제어하는 Brotli 데이터만 압축 해제하는 애플리케이션. UnityWebRequest는 Brotli를 사용하지 않습니다. AssetBundles 및 기타 Unity 아카이브 형식은 LZ4, LZ4HC, LZMA만 지원합니다. Unity 폰트 로딩은 브로틀리를 사용하지 않습니다.

Unity Editor:는 하나의 예외를 제외하고는 Brotli 디코더를 악용할 수 있는 방식으로 사용하지 않습니다. Unity 패키지 관리자 클라이언트는 패키지 서명을 확인하기 전에 레지스트리 응답을 압축 해제하므로, 악성 또는 사칭된 스코프 레지스트리가 취약점을 유발할 수 있습니다. Windows 및 Mac에서 바이너리 보호는 충돌로 인한 영향을 제한합니다. Linux 코드 실행이 가능할 수 있습니다.

이 취약점이 Unity 애플리케이션에서 악용되었다는 증거는 없습니다.

영향을 받는 플랫폼

Brotli 디코더는 모든 플랫폼 및 스크립팅 백엔드(Mono, IL2CPP, CoreCLR)에 포함된 모든 Unity 플레이어 함께 제공되는 .NET 클래스 라이브러리의 일부입니다. 애플리케이션이 영향을 받는지 여부는 해당 플랫폼에서 실행되는지가 아니라 위 API를 통해 신뢰할 수 없는 Brotli 데이터를 압축 해제하는지에 따라 달라집니다.

Unity 에디터 버전 표

패치된 버전 이전에 나열된 버전의 Unity 에디터 빌드된 애플리케이션은 위의 조건을 충족하는 경우 취약한 것으로 간주됩니다.

Unity 6000.0 이상에 대한 패치 릴리스가 진행 중입니다. 이 표는 패치된 버전이 출시될 때마다 업데이트될 것입니다. 최종 업데이트: 2026년 10월 28일.

기타 Unity 제품

전개

이 취약점은 구글의 오픈 소스 Brotli 라이브러리에 있으며 공개적으로 공개되었습니다. Unity 직접 보고되지 않았습니다. Unity 보안팀은 대응의 일환으로 Unity 런타임 클래스 라이브러리 내의 영향을 받는 Brotli 복사본을 식별했습니다.

문제 해결 단계

애플리케이션 재구축

릴리스 라인에 맞는 패치된 버전으로 Unity 에디터 업데이트한 후(Unity 에디터 버전 테이블 참조), 애플리케이션을 다시 빌드하고 배포하십시오. 디코더는 빌드된 애플리케이션 내부에 포함되어 있으므로, 재빌드 없이 에디터를 업데이트하는 것은 이미 배포된 애플리케이션을 수정하지 못합니다.

아직 업데이트할 수 없는 경우

BrotliStream, BrotliDecoder 또는 Brotli 자동 압축을 사용하는 HttpClient를 포함하여 프로젝트의 서드파티 라이브러리 및 플러그인을 확인하십시오. 없으면 애플리케이션은 노출되지 않습니다. 그렇다면, 패치된 에디터 버전으로 재구축할 수 있을 때까지 사용을 제거하거나 신뢰할 수 없는 데이터를 전달하는 것을 중단하십시오.

패키지 관리자 경우, 업데이트하기 전까지는 제어하지 않는 스코프된 레지스트리를 추가하는 것을 피하십시오. eMudhra 인증서 문제(별도 권고 사항 참조)로 인해 신뢰 레지스트리가 사칭될 수 있으므로 편집기 업데이트가 유일한 완전한 해결책입니다.

Unity 고정 버전

Unity 에디터 첫 번째 고정 버전(Unity 런타임 포함)에 대한 직접 링크
패치된 버전이 출시될 때마다 여기에 링크가 추가될 것입니다. 최종 업데이트: 2026년 10월 28일.