AnyDesk - CVE-2026-109390

Il s’agit d’une vulnérabilité dans le gestionnaire de paquets de flux en mode 5 du protocole de session d’AnyDesk pour Linux.

AnyDesk est un logiciel d’accès et de contrôle à distance qui permet de prendre la main sur un poste de travail ou un serveur à travers le réseau. Il est édité par AnyDesk Software GmbH. Il est disponible sur Windows, macOS, Linux, FreeBSD, Android et iOS. Les connexions s’effectuent en direct ou par des serveurs relais.

Le gestionnaire ne valide pas la longueur de données annoncée par le paquet avant de l’utiliser. Il ajoute ensuite un en-tête d’objet de 16 octets à cette longueur, avec une arithmétique 32 bits. Une longueur comprise entre 0xfffffff0 et 0xffffffff provoque alors un dépassement d’entier. L’allocation obtenue fait entre 0 et 15 octets, mais l’objet conserve la longueur logique initiale. La copie des octets du paquet provoque donc un débordement de tas. Une petite trame suffit, car le grand volume n’est jamais envoyé. L’attaque se déroule avant toute approbation du contrôle du bureau par l’utilisateur. Le service s’exécute en root sur Linux. Le code de preuve de concept cible les connexions directes sur le port TCP/7070. Il corrompt un objet voisin du tas pour détourner l’exécution vers une chaîne ROP. Cette chaîne appelle la fonction system() avec la commande de l’attaquant. L’éditeur indique que la faille est limitée aux connexions directes sous Linux. Les chercheurs affirment que le même chemin de code est atteignable par les relais, ce qu’ils ont validé uniquement avec un déclencheur Frida minimal. L’exploitation est probabiliste. Elle dépend de la disposition du tas et de décalages propres à chaque build.

Elle permet à un attaquant distant non authentifié d’exécuter du code arbitraire avec les droits root sur le système.