1. Een beveiligingskwetsbaarheid, genaamd AnyPwn, is ontdekt in AnyDesk Linux versie 8.0.2. Deze kwetsbaarheid stelt aanvallers in staat commando's uit te voeren met root-rechten zonder authenticatie of gebruikersgoedkeuring.
2. De kwetsbaarheid bevindt zich in het sessieprotocol van AnyDesk, dat de gegevens afhandelt die worden uitgewisseld bij een verbinding van een externe client. De fout is een pre-authenticatiefout, zero-click remote code execution, veroorzaakt door een heap buffer overflow.
3. In de getroffen versie accepteert de mode-5 stream packet handler een lengte van een externe payload voordat deze veilig wordt gevalideerd. De software voegt een 16-byte objectheader toe aan die waarde met behulp van 32-bit rekenkunde.
4. Een speciaal gevormde lengte kan ervoor zorgen dat de berekening "wrapt", waardoor de applicatie een zeer klein geheugengebied reserveert, terwijl het toch als een veel groter object wordt behandeld. Dit creëert een "out-of-bounds write" conditie, waarbij een aanvaller een klein netwerkpakket kan sturen dat AnyDesk ertoe aanzet een grote hoeveelheid gegevens te verwachten. De kwetsbare service schrijft vervolgens door de aanvaller gecontroleerde gegevens buiten het kleine toegewezen geheugengebied.
5. Dit kan nabijgelegen objecten in het geheugen corrumperen en, onder de juiste omstandigheden, de programma-uitvoering omleiden. Onderzoekers hebben aangetoond dat de kwetsbaarheid kan worden gebruikt om een willekeurig commando uit te voeren via de AnyDesk-service.
6. De beveiligingsimpact is ernstig omdat de AnyDesk-service onder Linux normaal gesproken draait met root-privileges. Een aanvaller kan, door de kwetsbaarheid te triggeren, een sterke positie op het getroffen systeem verkrijgen voordat een slachtoffer een desktop-sharingverzoek accepteert.
7. De kwetsbaarheid werd ontdekt door Rick de Jager van het V12 security team. V12 publiceerde de kwetsbaarheid in juni 2026.
8. De publieke exploitcode werd op 8 oktober 2026 vrijgegeven. De exploit richt zich op AnyDesk Linux 8.0.2 die draait in servicemodus op x86_64-systemen en maakt gebruik van een directe verbinding met TCP-poort 7070.
9. De exploit is afhankelijk van een specifieke geheugenlayout, wat betekent dat exploitatie niet gegarandeerd is; de service kan crashen in plaats van het commando van de aanvaller uit te voeren als de geheugenlayout ongeschikt is. De exploit is ook afhankelijk van offsets voor de exacte kwetsbare build.
10. AnyDesk heeft de melding de dag na de publicatie erkend en de 8.0.3-update in juni 2026 uitgebracht. De changelog van AnyDesk voor Linux vermeldde de correcties, hoewel de vermelding hierover werd beschreven als een bug die tot een crash kon leiden in plaats van een beveiligingskwetsbaarheid.
11. AnyDesk gaf aanvankelijk aan dat de kwetsbaarheid beperkt was tot directe Linux-verbindingen en geen invloed had op Windows of macOS. De V12-onderzoekers meldden dat ze het kwetsbare code-pad ook bereikten via AnyDesk-relayverbindingen, maar demonstreerden de volledige root-code-executieketen via relays niet. Directe blootstelling van TCP/7070 wordt bevestigd als een risico, terwijl volledige exploitatie via relays onopgelost blijft.
12. Organisaties die AnyDesk voor Linux gebruiken, wordt aangeraden onmiddellijk te updaten naar versie 8.0.3 of later. Beheerders moeten Linux-machines met AnyDesk 8.0.2 of oudere builds identificeren en upgraden.
13. Waar patchen niet onmiddellijk kan gebeuren, moeten teams inkomende toegang tot TCP/7070 beperken bij firewalls, VPN-gateways en cloud security groups. Er moet ook beoordeling plaatsvinden van AnyDesk-servicelogs, onverwachte processen op root-niveau en uitgaande verbindingen van systemen die de poort blootstelden.
14. Cyber Security News rapporteerde eerder over een afzonderlijke AnyDesk-fout met een publieke proof-of-concept die Windows trof.