Kritikus AnyDesk-hiba: távolról, hitelesítés nélkül futtatható kód rendszergazdai joggal
Az AnyDesk 8.0.3 előtti verzióiban távolról, hitelesítés nélkül lehet rendszergazdai jogosultsággal programkódot futtatni. A BSI WID (CERT-Bund) figyelmeztetése Windows, Linux és UNIX rendszereket nevez meg érintettként. A javítás a 8.0.3-as kiadásban található; a Linuxon bemutatott támadáshoz a felhasználónak nem kellett jóváhagynia az asztal vezérlését.
A Linuxon bemutatott támadáshoz nem kellett engedély
Az AnyDesk számítógépek interneten keresztüli távoli vezérlésére szolgál. A CVE-2026-109390 azonosítójú sebezhetőség leírása szerint egy hitelesítés nélküli távoli támadó tetszőleges kódot futtathat az érintett verziókban, adminisztrátori jogosultsággal.
A Linuxon bemutatott kihasználás során a támadó root jogosultsággal tudott parancsokat végrehajtani. Ehhez az áldozatnak nem kellett elfogadnia az asztal távoli vezérlését. A leírt támadás tehát nem attól függött, hogy a felhasználó jóváhagyott-e egy segítségnyújtási kapcsolatot.
A csomag hosszának ellenőrzése hiányzik
A hiba az AnyDesk munkamenet-protokolljának egyik csomagfeldolgozó részében található. Az 5-ös módhoz tartozó feldolgozó nem ellenőrzi az adatcsomagban megadott hosszértéket. A sebezhetőség leírása ezt a hiányosságot nevezi meg a távoli kódfuttatást lehetővé tevő hiba okaként.
Fontos különbség van az érintettség és a bemutatott kihasználás között. A BSI WID közleménye Windows, Linux és UNIX rendszereket sorol fel, a CVE leírása viszont kifejezetten Linuxon végrehajtott támadást ismertet. A forrás nem részletezi külön a windowsos és UNIX rendszereken történő kihasználás menetét.
Kritikus besorolás, de nincs igazolt aktív kihasználás
A sebezhetőség CVSS-pontszáma 9,8, ami kritikus műszaki súlyosságot jelent. A CVSS a hibák súlyosságát jelzi egy 0-10 közötti skálán; önmagában nem mutatja meg, hogy támadók ténylegesen használják-e a hibát.
Nyilvános, a kihasználást bemutató támadókód elérhető hozzá. Ez azonban nem azonos az aktív támadások bizonyítékával: a rendelkezésre álló adatok nem igazolnak folyamatban lévő kihasználást. A hiba nem szerepel a CISA ismerten kihasznált sebezhetőségeket tartalmazó listáján (KEV).
A javított kiadásra érdemes frissíteni
Az érintett verziók határa egyértelmű: a közlemény minden 8.0.3 előtti AnyDesk-kiadást sebezhetőként jelöl, a 8.0.3-as verziót pedig javítottként. Ha régebbi kiadást használsz, frissíts a javított verzióra.
A forrás nem ad külön telepítési útmutatót vagy átmeneti kerülőmegoldást. Kompromittálódás ellenőrzésére szolgáló lépéseket sem közöl, ezért ilyen eljárás nem vezethető le a figyelmeztetésből.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum