Exécution de code arbitraire via les fichiers de traduction .po dans Godot 4.1+

🔍 Contexte

Publié le 26 octobre 2026 par Tomasz Kaye (Axe Ghost) sur axeghost.offprint.app, cet article présente une divulgation publique anticipée d’une vulnérabilité découverte dans le moteur de jeu Godot, affectant les versions 4.1 et ultérieures (confirmée sur 4.7-stable). La divulgation intervient après l’absence de réponse du vendor suite à un signalement privé effectué le 23 septembre 2026.

🐛 Vulnérabilité

Le chargeur de traductions .po de Godot stocke l’en-tête Plural-Forms sans validation grammaticale. Lors du premier appel à une traduction plurielle (tr_n()), cet en-tête est évalué par l’évaluateur d’expressions généraliste de Godot (Expression), qui peut appeler toutes les fonctions utilitaires enregistrées du moteur, y compris bytes_to_var_with_objects() — explicitement documentée comme dangereuse sur des entrées non fiables.

⛓️ Chaîne d’exploitation (6 étapes)

• core/io/translation_loader_po.cpp:232 : stockage sans validation
• core/string/translation.cpp:222 : transmission à PluralRules::parse()
• core/string/plural_rules.cpp:40-46 : évaluation comme Expression généraliste
• core/math/expression.cpp : dispatch vers bytes_to_var_with_objects()
• core/io/marshalls.cpp:699-785 : décodage d’un objet avec classe et propriétés choisies par l’attaquant
• modules/gdscript/gdscript.cpp:1013-1017 : compilation et exécution de l’initialiseur statique du script fourni

💣 Impact démontré

• Preuve 1 : plural=seed(123456789) — manipulation de l’état RNG global du jeu (10/10 runs)
• Preuve 2 : décodage d’un enregistrement Variant de 180 octets contenant un objet GDScript avec code source arbitraire — exécution de l’initialiseur statique (10/10 runs)
• Le script de l’attaquant s’exécute avec les mêmes privilèges système que le jeu
• Le payload tient en 180 octets dans l’en-tête Plural-Forms, sans fichier script, sans code natif, sans référence externe

📊 Score CVSS

CVSS 3.1 : 7.8 (High) — CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

🔧 État des correctifs

Au 24 octobre 2026, aucun correctif n’est mergé. Deux PR sont ouvertes :

• PR #123130 (03/09/2026) : restreint partiellement les fonctions autorisées — la preuve seed() reste exploitable
• PR #123857 (26/09/2026) : restreint aux fonctions mathématiques pures — ferme la chaîne démontrée, mais sans parser gettext dédié

📅 Timeline

• 23/09/2026 : signalement privé à [email protected]
• 24/09/2026 : deux suivis envoyés (caveat grammatical + vidéo de démonstration)
• 26/10/2026 : Godot modifie sa page de contact pour interdire les rapports assistés par IA — divulgation publique anticipée

📄 Type d’article

Divulgation publique de vulnérabilité (full disclosure anticipée) avec preuve de concept, analyse de code source, scoring CVSS et timeline de coordination. But principal : alerter les développeurs de jeux Godot chargeant des traductions communautaires.

🧠 TTPs et IOCs détectés

TTP

• T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

• Chemins : core/io/translation_loader_po.cpp
• Chemins : core/string/translation.cpp
• Chemins : core/string/plural_rules.cpp
• Chemins : core/math/expression.cpp
• Chemins : core/io/marshalls.cpp
• Chemins : modules/gdscript/gdscript.cpp

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 40/100 (moyenne)

• ⬜ axeghost.offprint.app — source non référencée (0pts)
• ✅ 9300 chars — texte complet (fulltext extrait) (15pts)
• ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 3 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://axeghost.offprint.app/a/3mysixmpap723-a-community-translation-can-run-attacker-chosen-code-in-an-exported-godot-game