Beveiligingsonderzoekers hebben op 8 oktober een volledig werkende exploit gepubliceerd voor een kwetsbaarheid in AnyDesk voor Linux waarmee een aanvaller rootrechten krijgt nog voordat iemand de verbinding heeft goedgekeurd. De exploit, AnyPwn genoemd, staat op GitHub en vereist geen enkele actie van het slachtoffer: geen klik, geen bevestiging, geen ingelogde sessie.
Een overflow in het verbindingsprotocol
De kwetsbaarheid is een heap-bufferoverflow in het sessieprotocol dat AnyDesk gebruikt zodra een verbindingsverzoek binnenkomt. Ze werkt alleen via rechtstreekse TCP-verbindingen op poort 7070, en de onderzoekers richten hun exploitcode specifiek op versie 8.0.2. Ze benadrukken dat de kans op succes niet gegarandeerd is: de aanval is probabilistisch en de geheugenposities in hun code zijn afgestemd op die ene build. Of de kwetsbaarheid ook via AnyDesks relay-infrastructuur te misbruiken is, hebben de onderzoekers niet aangetoond, al vermoeden ze dat het pad bereikbaar is.
Opvallend is de aanleiding. De onderzoekers meldden de fout al op 22 juni en AnyDesk reageerde de volgende dag met versie 8.0.3. Het changelog van die update vermeldde destijds alleen vaag dat er “een bug die tot een crash kon leiden” was verholpen, zonder CVE-nummer en zonder beveiligingsadvisory. Vier maanden later, op 9 oktober, was er nog altijd geen CVE toegekend aan de kwetsbaarheid, ondanks dat er nu een publiek beschikbare, werkende exploit voor rootrechten circuleert.
Patchen zonder op een CVE te kunnen zoeken
Dat gebrek aan een CVE-nummer maakt het voor beheerders lastiger om te checken of hun installatie kwetsbaar is: standaard kwetsbaarhedenscanners zoeken immers op CVE-identifiers. Wie AnyDesk voor Linux gebruikt, moet dus zelf het versienummer controleren in plaats van te wachten op een melding via de gangbare kanalen. Alles vóór versie 8.0.3 is kwetsbaar, de huidige release is 8.1.0.
Voor organisaties die AnyDesk op Linux-servers draaien voor beheer op afstand is dit geen kwetsbaarheid om op de lange baan te schuiven. Rootrechten zonder enige authenticatie is de zwaarst denkbare uitkomst, en het feit dat de exploitcode nu openbaar is vergroot het risico op misbruik aanzienlijk, ook zonder CVSS-score of officiële ernstclassificatie. Controleer de geïnstalleerde versie, update naar minimaal 8.0.3 en zorg dat poort 7070 niet onnodig vanaf het internet bereikbaar is. Beperk toegang tot AnyDesk-verbindingen waar mogelijk tot een vaste lijst IP-adressen of een VPN, zeker op Linux-systemen die als beheertoegang voor kritieke infrastructuur dienen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Beheert u AnyDesk voor Linux op servers met extern beheer? Controleer het versienummer handmatig, want er is nog geen CVE toegekend waarop scanners kunnen filteren. Update naar minimaal 8.0.3, bij voorkeur 8.1.0, en beperk de bereikbaarheid van poort 7070 tot vertrouwde IP-adressen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.