Resumo

Uma vulnerabilidade na biblioteca de compressão Brotli de código aberto do Google (CVE-2026-111497) foi divulgada publicamente em 21 de outubro de 2026. Um aplicativo é exposto apenas se descompactar dados Brotli que um atacante pode controlar, chamando System.IO.Compression.BrotliStream ou BrotliDecoder, ou usando System.Net.Http.HttpClient com a descompressão Brotli ativada. As próprias APIs de rede e carregamento de ativos da Unity, incluindo UnityWebRequest e AssetBundles, não usam o decodificador Brotli. Onde uma aplicação é exposta, um stream Brotli elaborado pode travá-la ou potencialmente executar código no nível de privilégio da aplicação.

O cliente do Unity Package Manager, que acompanha o Unity Editor, também inclui a biblioteca afetada e pode ser impactado se os usuários baixarem pacotes de um registro de pacotes malicioso ou comprometido. Os desenvolvedores devem atualizar para uma versão do Editor corrigida.

Não há evidências de que esta vulnerabilidade tenha sido explorada em aplicações Unity, e nenhum impacto em usuários ou clientes foi identificado. A Unity está enviando o conserto upstream nas próximas versões do Editor.

Detalhes da vulnerabilidade

ID CVE: CVE-2026-111497

Componente Decodificador Brotli nas bibliotecas de classes .NET enviadas com o Unity Runtime (Mono libmono-native, IL2CPP, CoreCLR)

Versão afetada a montante: Brotli 1.0.3 até 1.2.0

Versões fixas a montante: Brotli 1.0.10, 1.1.1, 1.2.1

Data divulgada publicamente: 21 de outubro de 2026

Data do patch Brotli disponível: 21 de outubro de 2026

Versões afetadas: Veja a tabela de versões do Unity Editor

Tipo de vulnerabilidade: Estouro de buffer no decodificador Brotli CWE-787

Pontuação CVSS: 9.2

string de vetor CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Potencial de Exploração

Um atacante que consiga fazer um aplicativo Unity descompactar um stream Brotli adulterado pode travá-lo ou potencialmente executar código com o privilégio do aplicativo.

Exposto: a aplicação passa dados que recebe de uma fonte não confiável (respostas de rede, uploads de jogadores, User Generated Content, servidores de terceiros) para BrotliStream ou BrotliDecoder, ou usa HttpClient com descompressão automática Brotli ativada. Isso inclui o uso dentro de bibliotecas e plugins de terceiros no seu projeto.

Não expostas: aplicações que nunca descompactam dados Brotli, ou apenas descompactam dados Brotli que criaram e controlam. UnityWebRequest não usa Brotli. AssetBundles e outros formatos de arquivo do Unity suportam apenas LZ4, LZ4HC e LZMA. O carregamento de fontes do Unity não usa Brotli.

Unity Editor: o Editor não usa o decodificador Brotli de forma explorável, com uma exceção. O cliente do Unity Package Manager descompacta as respostas do registro antes de verificar as assinaturas dos pacotes, de modo que um registro de escopo malicioso ou falsificado pode acionar a vulnerabilidade. No Windows e Mac, as proteções binárias limitam o impacto a uma falha. No Linux, a execução de código pode ser possível.

Não há evidências de que esta vulnerabilidade tenha sido explorada em Aplicações Unity.

Plataformas Afetadas

O decodificador Brotli faz parte das bibliotecas de classes .NET que acompanham cada Player Unity, em todas as plataformas e *scripting backends* (Mono, IL2CPP, CoreCLR). Se um aplicativo é afetado depende se ele descompacta dados Brotli não confiáveis através das APIs acima, e não da plataforma em que ele roda.

Tabela de Versão do Unity Editor

Aplicações construídas com a versão listada do Unity Editor antes da versão corrigida são consideradas vulneráveis se atenderem às condições acima.

Lançamentos corrigidos estão em andamento para Unity 6000.0 e posteriores. Esta tabela será atualizada à medida que cada versão corrigida for lançada. Última atualização: 28 de outubro de 2026.

Outros Produtos Unity

Descoberta

Esta vulnerabilidade está na biblioteca Brotli de código aberto do Google e foi divulgada publicamente. Não foi relatado diretamente à Unity. A equipe de Segurança da Unity identificou as cópias afetadas do Brotli nas bibliotecas de classes do Unity Runtime como parte de sua resposta.

Etapas de correção

Reconstruir A Aplicação

Atualize o Editor Unity para a versão corrigida da sua linha de lançamento (consulte a tabela de versões do Editor Unity), depois reconstrua e reimplemente o aplicativo. O decodificador é enviado dentro do aplicativo construído, então atualizar o Editor sem reconstruir não corrige aplicativos já enviados.

Se Você Ainda Não Puder Atualizar

Verifique seu projeto, incluindo bibliotecas e plugins de terceiros, quanto ao uso de BrotliStream, BrotliDecoder ou HttpClient com descompressão automática Brotli. Se nenhum estiver presente, sua aplicação não está exposta. Se for, remova o uso ou pare de passar dados não confiáveis para ele até que você possa reconstruir com uma versão do Editor corrigida.

Para o Gerenciador de Pacotes, evite adicionar registros escopados que você não controla até que você tenha atualizado. Note que o problema com o certificado eMudhra (veja o aviso separado) significa que um registro de confiança pode ser falsificado, portanto, atualizar o Editor é a única solução completa.

Versões Fixas Unity

Links diretos para as primeiras versões fixas do Unity Editor (que incluem o Unity Runtime).
Os links serão adicionados aqui à medida que cada versão corrigida for lançada. Última atualização: 28 de outubro de 2026.