赛博朋克 2077 玩家在发现漏洞后被告知要“谨慎使用”模组和自定义保存

在发现保存文件漏洞后，CD Projekt Red 告知玩家在下载用于 Cyberpunk 2077 的未知来源文件时要“谨慎行事”。

CDPR 在给 Eurogamer 的声明中对该漏洞的性质做了一些解释：

“一群社区成员联系我们，提出了游戏使用的外部 DLL 文件的问题。此问题可能被用作 PC 上的远程代码执行的一部分。我们感谢他们的意见，并正在努力尽快修复此问题。与此同时，我们建议大家不要使用从未知来源获得的文件。任何计划使用 Cyberpunk 2077 的 mod 或自定义保存的人都应该小心谨慎，直到我们发布上述修复程序为止。”

据发现该问题的模组社区成员 PixelRick 称，保存文件漏洞“不难发现，因为这只是运气问题，但利用起来很棘手”，他将其描述为“游戏漏洞，而不是人性的漏洞”。PixelRick 提供了深入的解释，但这里尝试进行简化概述：当 Cyberpunk 2077 读取保存文件时，它会创建缓冲区溢出。此缓冲区溢出可用于将正在运行的线程重定向到旧的 DLL，该 DLL 位于没有现代保护的固定已知地址。本质上，该漏洞使不可执行文件可执行，从而可以执行“任何本地执行的病毒”。最重要的是，“精心制作的保存文件可以保持静默，在我关闭打开的弹出窗口后，游戏会无错误地加载真正的保存文件数据，”PixelRick 补充道。

“信任系统被破坏了，因为你应该相信数据文件修改是无害的，而对一般的可执行文件则持怀疑态度。”PixelRick 说。“这个漏洞使得在补丁发布之前无法真正信任该游戏的任何修改数据文件。”

发现漏洞后，PixelRick 向 Cyberpunk 2077 改装 Discord 管理员报告了该漏洞，并将信息传递给了 CDPR。Cyber Engine Tweaks（Cyberpunk 2077 的流行改装工具）创建了一个临时修复程序，以帮助用户度过难关，直到 CDPR 发布官方补丁。虽然到目前为止，似乎还没有在 Nexus Mods 等网站上“公开”发现此漏洞，但最好不要下载保存文件，直到官方修复程序推出。