漏洞详情

CVE ID：CVE-2019-9197

类型远程代码执行

发现：2018/11/15

发现者：9sg 安全团队的 rgod - rgod@9sgsec.com 与 Trend Micro 的 Zero Day Initiative 合作

补丁可用性：2019/03/04

受影响的操作系统：Windows

受影响的版本：全部 （Windows）

严厉： 高

补丁版本：

• [1] 2019.2.0a7 （Win），大小= 795,664字节，md5=6fcde1045cc4af7f84ba4f820f5db868
• [2] 2019.1.0b5 （Win），大小 = 696,212 kB，md5：d2ec9e0dc974adfd0e465ffe2e3f1c23
• [3] 2018.3.7f1 （Win）， size=570,279kB， md5=6fcde1045cc4af7f84ba4f820f5db868
• [4] 2018.2.21f1 （Win）， size=580,009kB， md5=1b87b98c936c81148a99c879386e676c
• [5] 2017.4.22f1 （Win）， size=527,486kB， md5=8cb0783f22dc5bfc80d2f170472aefbf
• [6] 5.6.7f1 (Win), size=554,855kB, md5=d761d8c151007ce2474ddc9d468abc02

在 Unity 编辑器中发现一个影响 Windows 平台的输入字符串验证问题，该问题可能导致远程代码执行 （RCE），从而允许攻击者在用户的计算机中远程执行代码。

修正步骤

确定 Unity 编辑器的版本

打开 Unity 项目。

Unity 版本在主窗口标题中可见。

在“文件”菜单中，选择“ 帮助”->“关于 Unity”。

Unity 版本显示在“ 关于 Unity ”窗口中。

安装更新

如果您的 Unity 编辑器版本不是上述漏洞详细信息的补丁版本部分中列出的版本之一，您可以继续安装更新，如下所示。

要安装更新，您可以使用“文件”菜单“ 帮助 -”检查更新“中提供的 Unity 编辑器更新检查器>。

此外，您可以下载并安装适用于您的 Unity 编辑器版本的相应修补程序。下载链接位于“漏洞详细信息的补丁版本”部分和“参考”部分。

缓解工具

如果您的 Unity 编辑器版本未列出，或者您目前无法安装更新，则可以使用缓解工具指南 [7]。

请记住，建议的操作是安装 Unity 编辑器的固定版本。

参考资料

• [1] 2019.2.0a7 （胜）
• [2] 2019.1.0b5 (Win)
• [3] 2018.3.7f1 （胜）
• [4] 2018.2.21f1 （胜）
• [5] 2017.4.22f1 （胜）
• [6] 5.6.7f1 （胜）
• [7] 缓解工具指南
• [8] 缓解工具