AnyDesk für Linux: Heap-Pufferüberlauf ermöglicht Code-Ausführung ohne Authentifizierung
Zusammenfassung
AnyDesk für Linux ab Version 8.0.0 bis vor 8.0.3 enthält einen Heap-basierten Pufferüberlauf bei der Verarbeitung von Stream-Paketen im Modus 5 des Session-Protokolls. Die Länge der Nutzlast wird nicht validiert, daher kann ein präpariertes Paket den Speicher beschädigen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann beliebige Befehle ausführen, typischerweise als root, ohne dass das Opfer die Desktop-Steuerung genehmigt. Ein öffentlicher Proof of Concept existiert, und die Ausnutzung ist nur probabilistisch.
Betroffen
- AnyDesk für Linux 8.0.0 bis vor 8.0.3 (CVE-Eintrag)
- Getestete Version: AnyDesk Linux 8.0.2
- Versionen unter 8.0.0: Unbekannt
- Windows und macOS: Gemäss einer Herstelleraussage nicht betroffen
Behoben in
- AnyDesk für Linux 8.0.3 oder neuer (neueste Version laut Sekundärberichten: 8.1.0)
- Der Hersteller hat keine formale Sicherheitsmitteilung veröffentlicht.
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme.
- Eingehenden Zugriff auf TCP/7070 an Firewalls, VPN-Gateways und Cloud-Sicherheitsgruppen einschränken.
- Ob dies auch Relay-Verbindungen abdeckt, ist unbekannt.
Ausnutzung
- Öffentlicher Proof of Concept: Ja, am 8. Oktober 2026 auf GitHub veröffentlicht.
- CISA SSVC: Ausnutzungsstatus poc, automatisierbar ja, technische Auswirkung total.
- Aktiv ausgenutzt in freier Wildbahn: Keine bestätigten Meldungen gefunden.
- Relay-Verbindungen: Erreichbarkeit ist unbestätigt; die Forschenden berichten von einer Validierung mit einem Frida-Trigger.
Unsere Empfehlung
- AnyDesk für Linux auf allen Hosts auf Version 8.0.3 oder neuer aktualisieren.
- Alle Linux-Hosts mit AnyDesk inventarisieren, auch solche, die von einzelnen Benutzern oder Support-Teams installiert wurden, und deren Versionen prüfen.
- Eingehenden Zugriff auf TCP/7070 aus unvertrauenswürdigen Netzen bis zur Aktualisierung blockieren; Firewall- und NAT-Regeln auf Exposition prüfen.
- AnyDesk-Dienstprotokolle, unerwartete Root-Prozesse und ausgehende Verbindungen auf exponierten Systemen überprüfen.
- Alte 8.0.2-Installationsdateien, die noch auf Datenträgern liegen könnten, entfernen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AnyDesk Linux changelog anydesk.com
- V12 Security PoC repository (AnyDesk) github.com
- CCB Belgium advisory ccb.belgium.be
- The Hacker News: working exploit published thehackernews.com
- Cloud Security Alliance research note labs.cloudsecurityalliance.org
- Cryptika: AnyDesk Linux flaw www.cryptika.com
- GBHackers: AnyDesk vulnerability gbhackers.com
- CISA-ADP record (HOL Guard) hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.