Exploit para una vulnerabilidad de preautenticación en AnyDesk para Linux

AXCESS · Octubre 09, 2026, 04:05:58 PM

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Investigadores de seguridad han publicado un exploit funcional para una vulnerabilidad de ejecución remota de código previa a la autenticación en AnyDesk para Linux, la cual otorga a los atacantes acceso root antes de que se apruebe la conexión.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

AnyDesk corrigió la vulnerabilidad en la versión 8.0.3 el pasado mes de junio; sin embargo, el registro de cambios describía la solución simplemente como la corrección de un error que podía provocar un bloqueo del sistema, sin asignar un identificador CVE ni emitir un boletín de seguridad.

El exploit, denominado AnyPwn, aprovecha un desbordamiento de búfer en el área de memoria dinámica (*heap*) del protocolo de sesión de AnyDesk, una herramienta de escritorio remoto. El código se publicó en GitHub el 8 de octubre.

Se recomienda a los administradores actualizar AnyDesk para Linux, como mínimo, a la versión 8.0.3. La versión más reciente es la 8.1.0.

Lo que demuestra el exploit

El exploit publicado funciona únicamente a través de conexiones TCP directas en el puerto 7070.

El exploit es probabilístico: la disposición de la memoria dinámica (*heap*) debe situar un objeto objetivo junto al búfer desbordado; de lo contrario, el servicio se bloquea en lugar de ejecutar el comando del atacante. Los desplazamientos (*offsets*) del código publicado están dirigidos a una compilación específica de AnyDesk para Linux (la versión 8.0.2); otras compilaciones requerirían valores distintos.

Los investigadores afirman que también es posible acceder a la misma ruta de código vulnerable a través de los servidores de retransmisión (*relay servers*) de AnyDesk, los cuales utiliza el software cuando no hay una conexión directa disponible. Validaron este hecho mediante un activador de instrumentación con Frida, pero no demostraron la cadena completa de explotación a través de dichas retransmisiones.

En junio, AnyDesk declaró que la vulnerabilidad se limitaba a "conexiones directas en Linux (conexiones que no pasan por nuestros servidores de retransmisión). Windows y macOS no se ven afectados".

El *exploit* está dirigido a la versión 8.0.2 de AnyDesk para Linux. Los investigadores sugieren que versiones anteriores, como la 8.0.1, podrían compartir la misma ruta de código vulnerable, aunque no se ha confirmado la explotación en dichas versiones.

Los investigadores dieron a conocer la vulnerabilidad el 22 de junio. AnyDesk la reconoció al día siguiente y lanzó la versión 8.0.3 con la corrección.

A fecha de 9 de octubre, no se ha asignado ningún identificador CVE a la vulnerabilidad. AnyDesk no ha emitido ningún aviso de seguridad formal.

La página de descargas de AnyDesk ya no incluye la versión 8.0.2, aunque esta sigue apareciendo en el registro de cambios. "El proveedor parece haber eliminado (?) la compilación 8.0.2 de AnyDesk tras la publicación de nuestro vídeo de prueba de concepto (PoC)", señalaron los investigadores.

Los administradores que no puedan actualizar el software de inmediato pueden reducir la exposición restringiendo el acceso al puerto TCP 7070. Aún no se ha determinado si la vulnerabilidad es totalmente explotable a través de conexiones de retransmisión.

Cómo funciona la vulnerabilidad

El protocolo de sesión de AnyDesk utiliza paquetes de flujo de datos de modo 5. El controlador calcula el tamaño de la asignación de memoria subyacente sumando una cabecera de 16 bytes a la longitud declarada de la carga útil, empleando aritmética de 32 bits sin comprobación de desbordamiento.

El *exploit* declara una longitud de carga útil de 0xFFFFFFF0. Al sumar 0x10, el resultado de 32 bits vuelve a cero, por lo que el asignador reserva un búfer diminuto mientras el objeto registra la longitud original (que es grande). En consecuencia, basta con escribir un solo byte de datos del atacante para sobrepasar el límite de la memoria asignada.

El desbordamiento corrompe campos de objetos adyacentes en el *heap*, y el *exploit* utiliza una cadena ROP para ejecutar un comando arbitrario con privilegios de *root*.

La vulnerabilidad fue descubierta por Rick de Jager, del equipo de seguridad de V12, utilizando V12, un motor de revisión de código de seguridad. Los fundadores de V12 crearon anteriormente la empresa de seguridad Zellic y lideraron el equipo de hacking competitivo Perfect Blue.

Otra vulnerabilidad de desbordamiento de búfer en el *heap* de AnyDesk, identificada como CVE-2025-27918, se corrigió en la versión 7.0.0 en abril de 2025. Dicha vulnerabilidad afectaba a todas las plataformas de AnyDesk e implicaba un desbordamiento de enteros en el procesamiento de imágenes de usuario, un mecanismo distinto al fallo en el protocolo de sesión de AnyPwn.

AnyDesk sufrió un hackeo a principios de 2024 en un incidente independiente en el que se vulneraron los sistemas de producción de la empresa, lo que provocó la revocación de certificados y el restablecimiento obligatorio de contraseñas.

Fuente:
The Hacker News
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Exploit para una vulnerabilidad de preautenticación en AnyDesk para Linux

AXCESS

Octubre 09, 2026, 04:05:58 PM