Check Point Research'taki güvenlik araştırmacıları, Godot'u çalışma zamanı olarak kullanarak kötü amaçlı kod çalıştıran ve bilgisiz kullanıcıları bilinen kötü yazılımlarla enfekte eden GodLoader adlı bir kötü yazılım yükleyicisi hakkında bir rapor yayınladı. Rapora göre, etkilenen kullanıcılar ücretli yazılımlar için crack indirip çalıştırdıklarını düşünürken, aslında kötü yazılım yükleyicisini çalıştırmışlar.
\ Raporda belirtildiği gibi, güvenlik açığı Godot'a özgü değildir. Godot Engine, bir betik dili içeren bir programlama sistemidir. Örneğin, Python ve Ruby çalışma zamanlarına benzer. Herhangi bir programlama dilinde kötü amaçlı programlar yazmak mümkündür. Godot'un diğer bu tür programlardan daha fazla veya daha az uygun olduğuna inanmıyoruz.
\ Güvenilir bir kaynaktan bir Godot oyunu veya editörü indirdiyseniz, hiçbir şey yapmanıza gerek yok. Risk altında değilsiniz. İnsanları yalnızca güvenilir kaynaklardan yazılım çalıştırmaya teşvik ediyoruz - ister Godot ister başka bir programlama sistemi kullanılarak yazılmış olsun.
\ Bazı teknik detaylar için:
Godot, .pck dosyaları için bir dosya işleyicisi kaydetmez. Bu, kötü niyetli bir aktörün her zaman Godot çalışma zamanını (.exe dosyası) bir .pck dosyasıyla birlikte göndermesi gerektiği anlamına gelir. Kullanıcı her zaman çalışma zamanını .pck ile birlikte aynı konuma açmak ve ardından çalışma zamanını çalıştırmak zorunda kalacaktır. Diğer işletim sistemi düzeyindeki güvenlik açıkları hariç, kötü niyetli bir aktörün "tek tıklamayla sömürü" oluşturmasının bir yolu yoktur. Böyle bir işletim sistemi düzeyinde güvenlik açığı kullanılsaydı, çalışma zamanının boyutu nedeniyle Godot özellikle çekici bir seçenek olmazdı.
\ Bu, Python veya Ruby'de kötü amaçlı yazılım yazmaya benzer, kötü niyetli aktör kötü amaçlı programlarıyla birlikte bir python.exe veya ruby.exe göndermek zorunda kalacaktır.
Bu fırsatı kullanarak kullanıcılara yazılım indirme ve çalıştırma konusunda bazı iyi güvenlik uygulamalarını hatırlatmak istiyoruz.
\
Check Point Research'a, bu saldırı vektörünün, ne yazık ki, Godot'a özgü olmadığını ve motorda veya kullanıcıları için bir güvenlik açığı ortaya çıkarmadığını doğrulamamıza olanak tanıyan sorumlu açıklama güvenlik yönergelerini izlediği için teşekkür ederiz.
\ Bir güvenlik açığı veya endişesi bildirmek istiyorsanız, lütfen [email protected] adresine bir e-posta gönderin.
Godot Güvenlik Ekibi tarafından
\ Ayrıca burada yayınlandı
\ Fotoğraf: Ümit Yıldırım, Unsplash'te


