ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Исследователи в области безопасности опубликовали полнофункциональный эксплойт, использующий уязвимость в AnyDesk для Linux, позволяющую удаленно выполнить код до прохождения аутентификации, что дает злоумышленникам права суперпользователя до того, как кто-либо утвердит соединение.

AnyDesk исправил эту уязвимость в версии 8.0.3 в июне, однако в журнале изменений исправление было описано лишь как «исправлена ошибка, которая могла привести к сбою системы», без присвоения номера CVE и публикации рекомендаций по безопасности.

Эксплойт, получивший название AnyPwn, нацелен на переполнение буфера кучи в протоколе сеанса AnyDesk — инструмента для удаленного доступа к рабочему столу. Код был опубликован на GitHub 8 октября.

Администраторам следует обновить AnyDesk для Linux как минимум до версии 8.0.3. Последний выпущенный релиз — 8.1.0.

Опубликованный эксплойт работает только через прямые TCP-соединения на порту 7070.

Эксплойт работает по вероятностному принципу: расположение объектов в куче должно обеспечивать, чтобы целевой объект находился рядом с переполненным буфером; в противном случае сервис завершает работу, а не выполняет команду злоумышленника. Смещения в опубликованном коде рассчитаны на конкретную сборку AnyDesk для Linux — 8.0.2; для других сборок потребуются другие значения.

Исследователи утверждают, что к тому же уязвимому кодовому пути можно получить доступ и через ретрансляционные серверы AnyDesk, которые программа использует, когда прямое соединение недоступно. Они подтвердили это с помощью триггера инструментария Frida, но не продемонстрировали полную цепочку эксплойта через ретрансляторы.

В июне компания AnyDesk заявила, что уязвимость «ограничивается прямыми соединениями в Linux (соединениями, не проходящими через наши ретрансляторы). Windows и macOS не затронуты».