AnyDesk Linux : un exploit root, corrigé sans CVE

Ce qui se passe

Le 8 octobre 2026, l'équipe de sécurité V12 (faille trouvée par Rick de Jager avec leur moteur de revue de code) a publié AnyPwn, un exploit complet pour une exécution de code à distance, avant authentification, dans AnyDesk pour Linux. L'attaquant obtient un accès root avant que quiconque ait approuvé la connexion.

La faille est corrigée depuis juin, en 8.0.3 : annoncée par les chercheurs le 22 juin, reconnue par AnyDesk le lendemain. Mais le journal des changements parle seulement d'un bogue pouvant provoquer un plantage. À la date du 9 octobre : aucun CVE, aucun avis de sécurité. La dernière version est la 8.1.0, et la page de téléchargement ne propose plus la 8.0.2, que le journal mentionne toujours.

Le mécanisme

Le protocole de session traite des paquets de flux de « mode 5 ». Le gestionnaire calcule la taille de l'allocation en ajoutant un en-tête de 16 octets à la longueur de charge annoncée, en arithmétique 32 bits, sans contrôle de dépassement.

longueur annoncée   0xFFFFFFF0
+ en-tête           0x00000010
= taille allouée    0x00000000   (retour à zéro sur 32 bits)

L'allocateur réserve un tampon minuscule alors que l'objet garde la grande longueur : le moindre octet reçu écrase le tas voisin. L'exploit corrompt des champs d'objets adjacents, puis une chaîne ROP exécute une commande en root.

Ce qui borne l'exploit

• Connexions TCP directes uniquement, port 7070.
• Probabiliste : si l'agencement du tas ne place pas l'objet visé à côté du tampon, le service plante au lieu d'exécuter la commande.
• Les décalages publiés visent la build 8.0.2 ; d'autres builds demandent d'autres valeurs. La 8.0.1 pourrait partager le code fautif, sans confirmation.
• Le même chemin de code est joignable par les relais d'AnyDesk (déclencheur validé avec Frida), mais la chaîne complète n'y est pas démontrée. AnyDesk limite la faille aux connexions directes sous Linux : Windows et macOS ne sont pas touchés.

Précédent sans rapport : CVE-2025-27918, un dépassement d'entier dans le traitement d'images, corrigé en 7.0.0 en avril 2025.

Comment s'y prendre

1. Passer AnyDesk Linux en 8.0.3 au minimum (8.1.0 est la dernière).
2. Si la mise à jour attend, filtrer le port TCP 7070 en entrée.
3. Faire l'inventaire à la main : sans CVE, un scanner de vulnérabilités ne signalera pas une 8.0.2.

Source : Researchers Publish Working Exploit for Pre-Auth AnyDesk Linux Flaw That Gives Root Access, The Hacker News, 9 octobre 2026. Exploit : v12-security/pocs · journal : AnyDesk Linux.