《僵尸毁灭工程》修复零日漏洞

4月7日，我们收到多位用户报告，称有一个模组在运行时疑似生成恶意代码。我们立即对相关模组展开调查，发现其包含高度混淆的代码，并确认该模组会在《僵尸毁灭工程》目录之外创建恶意文件。

进一步调查显示，同一用户共上传了14个模组，均包含相同漏洞。这些模组已在约500至2200台设备上安装。该用户现已被封禁，所有受影响的模组均已从Steam创意工坊中移除。

目前，恶意文件的完整影响范围和行为尚未完全确定。但由于这些模组能够在游戏目录外创建文件，我们强烈建议下载过这些模组的用户采取适当的安全措施以确保系统安全。仅卸载模组是不够的。


- Risk of Rain 2 OST (True MoooZIC)
创意工坊ID：3681934105 - 模组ID：RiskOfRain2Music

- Risk of Rain 1 OST (True MoooZIC)
创意工坊ID：3681810963 - 模组ID：RiskOfRain1Music

- NieR: Automata OST (True MoooZIC)
创意工坊ID：3681765529 - 模组ID：NierAutomataMusic

- Katana ZERO OST (True MoooZIC)
创意工坊ID：3681764942 - 模组ID：KatanaZeroMusic

- Persona 5 OST (True MoooZIC)
创意工坊ID：3681756112 - 模组ID：Persona5Music

- Jujutsu Kaisen S1 OST (True MoooZIC)
创意工坊ID：3681755051 - 模组ID：JujutsuKaisenMusic

- Hotline Miami 2: Wrong Number OST (True MoooZIC)
创意工坊ID：3681719339 - 模组ID：HotlineMiami2Music

- Hotline Miami OST (True MoooZIC)
创意工坊ID：3681718339 - 模组ID：HotlineMiami1Music

- Silent Hill OST (True MoooZIC)
创意工坊ID：3681477980 - 模组ID：SilentHillMusic

- Cowboy Bebop OST (True MoooZIC)
创意工坊ID：3681476976 - 模组ID：CowboyBebopMusic

- Metal Gear Rising: Revengeance Vocal Tracks (True MoooZIC)
创意工坊ID：3681339955 - 模组ID：MGRRevengeanceMusic

- Classic Roblox Music (True MoooZIC)
创意工坊ID：3681335952 - 模组ID：RobloxClassicMusic

- DELTARUNE Ch3+4 Music (True MoooZIC)
创意工坊ID：3681334251 - 模组ID：DeltaruneCh34Music

- Minecraft Alpha+Beta OST (True MoooZIC)
创意工坊ID：3680972796 - 模组ID：MinecraftClassicMusic


此漏洞仅影响42版本分支。41版本不受此特定问题影响。

今日为41版本发布的安全更新修复了内部审计期间发现的另一个独立漏洞。目前我们未发现该独立漏洞被利用的证据。

与以往的安全修复一样，我们已更新outdatedunstable分支以匹配unstable分支，避免已知漏洞可被利用。今后，outdatedunstable分支将继续比unstable分支落后一个内容更新。


关于此更新的讨论帖一如既往可在《僵尸毁灭工程》讨论区置顶帖中找到。