Researchers Publish Working Exploit for Pre-Auth AnyDesk Linux Flaw That Gives Root Access
The Hacker News · 9 oct, 14:59
Qué hacer: Actualiza AnyDesk Linux a versión 8.0.3 o posterior (última 8.1.0), o restringe el acceso al puerto TCP 7070 si no puedes actualizar inmediatamente.
Investigadores de seguridad han publicado un exploit funcional (AnyPwn) para una vulnerabilidad de desbordamiento de buffer en AnyDesk Linux que permite ejecución remota de código pre-autenticación con acceso root. AnyDesk parcheó el fallo en versión 8.0.3 en junio sin asignar CVE ni emitir aviso de seguridad, y el exploit se liberó en GitHub el 8 de octubre. La falla afecta a conexiones directas TCP en puerto 7070, aunque los investigadores sugieren que también es alcanzable vía servidores relay de AnyDesk.
El exploit aprovecha un desbordamiento de heap en el protocolo de sesión de AnyDesk mediante aritmética de 32 bits sin verificación de overflow. Al declarar una longitud de payload de 0xFFFFFFF0, sumar el encabezado de 16 bytes hace que el resultado se ajuste a cero, provocando que el asignador reserve un búfer diminuto mientras que el objeto registra la longitud original grande. Esto permite que incluso un byte de datos del atacante sobrescriba la asignación.
El exploit es probabilístico y depende de que el layout del heap coloque un objeto objetivo adyacente al buffer desbordado; de lo contrario, el servicio se bloquea. Los offsets publicados apuntan a la compilación específica 8.0.2 de AnyDesk Linux, requiriendo valores diferentes para otras compilaciones. Los investigadores confirmaron que la ruta de código vulnerable también es alcanzable vía servidores relay usando instrumentación Frida, pero no demostraron la cadena de exploit completa sobre relays.
Puntos clave
- Vulnerabilidad de desbordamiento de heap en protocolo de sesión de AnyDesk Linux sin CVE asignado
- Afecta a versión 8.0.2; parcheado en 8.0.3 (junio 2026) y última versión 8.1.0
- Exploit probabilístico sobre conexiones TCP directas puerto 7070; también alcanzable vía relay según investigadores
- Ejecutable solo como root sin autenticación previa; requiere offsets específicos por compilación
- Descubierto por Rick de Jager (V12); investigadores sugieren versiones anteriores a 8.0.2 también vulnerables