Исследователи выкатили полностью рабочий эксплойт для RCE-уязвимости до аутентификации в AnyDesk Linux, который предоставляет злоумышленникам root-доступ до того, как кто-либо подтвердит подключение. В июне AnyDesk закрыла ее в версии 8.0.3, но в списке изменений исправление описывалось лишь краткой формулировкой: «исправлена ошибка, которая могла привести к сбою», без присвоения CVE и без каких-либо уведомлений о безопасности. Уязвимость, получившая название AnyPwn, нацелена на переполнение буфера кучи в протоколе сеанса AnyDesk. Код был опубликован на GitHub 8 октября. Администраторам следует обновить AnyDesk Linux как минимум до версии 8.0.3. Последняя выпущенная версия - 8.1.0. Вышедший эксплойт работает только через прямые TCP-соединения на порту 7070 и носит вероятностный характер: структура кучи должна размещать целевой объект рядом с переполненным буфером. В противном случае служба аварийно завершает работу. Смещения в опубликованном коде нацелены на конкретную сборку AnyDesk Linux, 8.0.2, а для других сборок потребуются другие значения. Исследователи полагают, что тот же уязвимый участок кода доступен и через ретрансляционные серверы AnyDesk, которые ПО использует, когда прямое соединение недоступно. Они подтвердили это с помощью триггера инструментария Frida, но не продемонстрировали полную цепочку эксплойтов через ретрансляторы. В июне AnyDesk заявила, что уязвимость «ограничивается прямыми соединениями в Linux (соединениями, которые не проходят через ретрансляторы). Windows и macOS не затронуты. Несмотря на то, что уязвимость апробирована на AnyDesk Linux 8.0.2, более ранние версии, такие как 8.0.1, могут использовать тот же уязвимый фрагмент кода, но эксплуатация уязвимости в этих версиях пока не подтверждена. Обнаружившие AnyPwn исследователи V12 сообщили об уязвимости 22 июня, AnyDesk подтвердила её наличие на следующий день и выпустила версию 8.0.3 с исправлением. По состоянию на текущий момент уязвимости не присвоен идентификатор CVE, а AnyDesk не выпускала официального уведомления о безопасности. Администраторы, которые не могут немедленно обновить систему, могут снизить уязвимость, ограничив доступ к TCP-порту 7070. Вопрос о том, можно ли полностью использовать эту уязвимость через ретрансляционные соединения, остается открытым.