Tóm tắt

Một lỗ hổng trong thư viện nén Brotli mã nguồn mở của Google (CVE-2026-111497) đã được công bố công khai vào ngày 21 tháng 10 năm 2026. Một ứng dụng chỉ bị lộ nếu nó giải nén dữ liệu Brotli mà kẻ tấn công có thể kiểm soát, bằng cách gọi System.IO.Compression.BrotliStream hoặc BrotliDecoder, hoặc bằng cách sử dụng System.Net.Http.HttpClient với tính năng giải nén Brotli được bật. Các API mạng và tải tài nguyên của Unity, bao gồm UnityWebRequest và AssetBundles, không sử dụng bộ giải mã Brotli. Nơi một ứng dụng được phơi bày, một luồng Brotli được chế tạo có thể làm nó bị treo hoặc có khả năng chạy mã ở cấp đặc quyền của ứng dụng.

Trình quản lý gói Unity, đi kèm với Unity Editor, cũng bao gồm thư viện bị ảnh hưởng và có thể bị tác động nếu người dùng tải xuống các gói từ kho lưu trữ gói độc hại hoặc bị xâm phạm. Các nhà phát triển nên cập nhật lên phiên bản Editor đã được vá.

Không có bằng chứng nào cho thấy lỗ hổng này đã bị khai thác trong các ứng dụng Unity, và không có tác động nào được xác định đối với người dùng hoặc khách hàng. Unity sẽ phát hành bản sửa lỗi upstream trong các bản phát hành Editor sắp tới.

Chi tiết lỗ hổng

CVE ID: CVE-2026-111497

Thành phần: Bộ giải mã Brotli trong các thư viện lớp .NET được cung cấp với Unity Runtime (Mono libmono-native, IL2CPP, CoreCLR)

Phiên bản bị ảnh hưởng thượng nguồn: Brotli 1.0.3 đến 1.2.0

Các phiên bản cố định thượng nguồn: Brotli 1.0.10, 1.1.1, 1.2.1

Ngày công bố công khai: Ngày 21 tháng 10 năm 2026

Bản vá Brotli ngày: Ngày 21 tháng 10 năm 2026

Các phiên bản bị ảnh hưởng: Xem bảng phiên bản Unity Editor

Loại lỗ hổng: Tràn bộ đệm trong bộ giải mã Brotli CWE-787

Điểm CVSS: 9.2

Chuỗi vector CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Tiềm năng khai thác

Một kẻ tấn công có thể khiến ứng dụng Unity giải nén một luồng Brotli được tạo thủ công có thể làm sập nó hoặc có khả năng chạy mã với đặc quyền của ứng dụng.

Exposed: ứng dụng truyền dữ liệu nó nhận được từ một nguồn không đáng tin cậy (các phản hồi mạng, tải lên của người chơi, User Generated Content, các máy chủ của bên thứ ba) đến BrotliStream hoặc BrotliDecoder, hoặc sử dụng HttpClient với tính năng giải nén tự động Brotli được bật. Điều này bao gồm việc sử dụng bên trong các thư viện và plugin của bên thứ ba trong dự án của bạn.

Các ứng dụng không được phơi bày: không bao giờ giải nén dữ liệu Brotli, hoặc chỉ giải nén dữ liệu Brotli mà chúng tạo ra và kiểm soát. UnityWebRequest không sử dụng Brotli. AssetBundles và các định dạng lưu trữ Unity khác chỉ hỗ trợ LZ4, LZ4HC và LZMA. Việc tải phông chữ của Unity không sử dụng Brotli.

Unity Editor: Trình chỉnh sửa không sử dụng bộ giải mã Brotli theo bất kỳ cách nào có thể khai thác được, ngoại trừ một trường hợp. Máy khách Unity Package Manager giải nén các phản hồi đăng ký trước khi nó xác minh chữ ký gói, vì vậy một kho đăng ký phạm vi độc hại hoặc giả mạo có thể kích hoạt lỗ hổng. Trên Windows và Mac, các biện pháp bảo vệ nhị phân giới hạn tác động ở mức bị treo. Trên Linux, việc thực thi mã có thể xảy ra.

Không có bằng chứng nào cho thấy lỗ hổng này đã bị khai thác trong các Ứng dụng Unity.

Các nền tảng bị ảnh hưởng

Bộ giải mã Brotli là một phần của các thư viện lớp .NET đi kèm với mọi Unity Player, trên tất cả các nền tảng và các backend kịch bản (Mono, IL2CPP, CoreCLR). Việc một ứng dụng có bị ảnh hưởng hay không phụ thuộc vào việc nó giải nén dữ liệu Brotli không đáng tin cậy thông qua các API ở trên hay không, chứ không phụ thuộc vào nền tảng mà nó chạy.

Bảng Phiên bản Unity Editor

Các ứng dụng được xây dựng bằng phiên bản Unity Editor được liệt kê trước phiên bản đã được vá được coi là dễ bị tấn công nếu chúng đáp ứng các điều kiện trên.

Các bản phát hành vá lỗi đang được tiến hành cho Unity 6000.0 trở lên. Bảng này sẽ được cập nhật khi mỗi phiên bản vá được phát hành. Cập nhật lần cuối: Ngày 28 tháng 10 năm 2026.

Các Sản phẩm Unity Khác

Khám phá

Lỗ hổng này nằm trong thư viện Brotli mã nguồn mở của Google và đã được công bố công khai. Nó đã không được báo cáo trực tiếp cho Unity. Đội ngũ Bảo mật của Unity đã xác định các bản sao Brotli bị ảnh hưởng trong các thư viện lớp Unity Runtime như một phần của phản ứng của mình.

Các bước khắc phục

Xây dựng lại Ứng dụng

Cập nhật Unity Editor lên phiên bản đã được vá cho dòng phát hành của bạn (xem bảng phiên bản Unity Editor), sau đó xây dựng lại và triển khai lại ứng dụng. Bộ giải mã được gửi bên trong ứng dụng đã xây dựng, vì vậy việc cập nhật Trình chỉnh sửa mà không xây dựng lại sẽ không sửa các ứng dụng đã được gửi.

Nếu Bạn Chưa Thể Cập Nhật

Kiểm tra dự án của bạn, bao gồm các thư viện và plugin của bên thứ ba, về việc sử dụng BrotliStream, BrotliDecoder hoặc HttpClient với giải nén tự động Brotli. Nếu không có cái nào, ứng dụng của bạn sẽ không được lộ ra ngoài. Nếu có, hãy loại bỏ việc sử dụng hoặc ngừng truyền dữ liệu không đáng tin cậy đến nó cho đến khi bạn có thể xây dựng lại với phiên bản Editor đã được vá.

Đối với Trình quản lý gói, tránh thêm các kho lưu trữ phạm vi mà bạn không kiểm soát cho đến khi bạn đã cập nhật. Lưu ý rằng sự cố chứng chỉ eMudhra (xem thông báo riêng) có nghĩa là một sổ đăng ký tin cậy có thể bị mạo danh, vì vậy việc cập nhật Editor là giải pháp hoàn chỉnh duy nhất.

Các Phiên Bản Cố Định của Unity

Các liên kết trực tiếp đến các phiên bản cố định đầu tiên của Unity Editor (bao gồm Unity Runtime).
Các liên kết sẽ được thêm vào đây khi mỗi phiên bản vá được phát hành. Cập nhật lần cuối: Ngày 28 tháng 10 năm 2026.