Исследователи выкатили полностью рабочий эксплойт для RCE-уязвимости до аутентификации в AnyDesk Linux, который предоставляет злоумышленникам root-доступ до того, как кто-либо подтвердит подключение.

В июне AnyDesk закрыла ее в версии 8.0.3, но в списке изменений исправление описывалось лишь краткой формулировкой: «исправлена ошибка, которая могла привести к сбою», без присвоения CVE и без каких-либо уведомлений о безопасности.

Уязвимость, получившая название AnyPwn, нацелена на переполнение буфера кучи в протоколе сеанса AnyDesk. Код был опубликован на GitHub 8 октября. Администраторам следует обновить AnyDesk Linux как минимум до версии 8.0.3. Последняя выпущенная версия - 8.1.0.

Вышедший эксплойт работает только через прямые TCP-соединения на порту 7070 и носит вероятностный характер: структура кучи должна размещать целевой объект рядом с переполненным буфером. В противном случае служба аварийно завершает работу.

Смещения в опубликованном коде нацелены на конкретную сборку AnyDesk Linux, 8.0.2, а для других сборок потребуются другие значения.

Исследователи полагают, что тот же уязвимый участок кода доступен и через ретрансляционные серверы AnyDesk, которые ПО использует, когда прямое соединение недоступно.

Они подтвердили это с помощью триггера инструментария Frida, но не продемонстрировали полную цепочку эксплойтов через ретрансляторы.

В июне AnyDesk заявила, что уязвимость «ограничивается прямыми соединениями в Linux (соединениями, которые не проходят через ретрансляторы). Windows и macOS не затронуты.

Несмотря на то, что уязвимость апробирована на AnyDesk Linux 8.0.2, более ранние версии, такие как 8.0.1, могут использовать тот же уязвимый фрагмент кода, но эксплуатация уязвимости в этих версиях пока не подтверждена.

Обнаружившие AnyPwn исследователи V12 сообщили об уязвимости 22 июня, AnyDesk подтвердила её наличие на следующий день и выпустила версию 8.0.3 с исправлением.

По состоянию на текущий момент уязвимости не присвоен идентификатор CVE, а AnyDesk не выпускала официального уведомления о безопасности.

Администраторы, которые не могут немедленно обновить систему, могут снизить уязвимость, ограничив доступ к TCP-порту 7070. Вопрос о том, можно ли полностью использовать эту уязвимость через ретрансляционные соединения, остается открытым.