CVE-2025-27917

AnyDesk przed wersją 8.0.3 umożliwia nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu przez przepełnienie sterty, co wykazano na Linuksie jako wykonanie poleceń jako root bez zatwierdzenia kontroli pulpitu przez ofiarę. W obsłudze pakietów strumieniowych dla trybu 5 w protokole sesji nie jest weryfikowana długość ładunku.

W AnyDesk dla Windows przed 9.0.5, macOS przed 9.0.1, Linux przed 7.0.0, iOS przed 7.1.2 i Android przed 8.0.0 występuje przepełnienie liczb całkowitych prowadzące do przepełnienia bufora na stercie poprzez pakiet UDP podczas przetwarzania obrazu użytkownika Identity w funkcji Discovery lub podczas nawiązywania połączenia między dwoma klientami.

AnyDesk w wersjach przed 3.6.1 na systemie Windows ma podatność na wstrzykiwanie DLL.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez nadużycie funkcji „Wyślij informacje pomocnicze”. Atak wymaga uprzedniego uzyskania niskiego poziomu uprawnień w systemie.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez manipulację plikami nagrań ekranu. Wymaga to uprzedniego uzyskania możliwości wykonania kodu o niskich uprawnieniach na docelowym systemie.

AnyDesk w wersji 2.5.0 zawiera podatność związaną z niecytowaną ścieżką usługi, która umożliwia lokalnym użytkownikom wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez wykorzystanie instalacji usługi. Atakujący mogą umieścić złośliwe pliki wykonywalne w ścieżce głównej systemu, które są uruchamiane z podwyższonymi uprawnieniami podczas uruchamiania aplikacji lub restartu systemu.

AnyDesk w wersjach 7.0.15 i 9.0.1 zawiera podatność niezastosowania cudzysłowów w ścieżce usługi (unquoted service path). Umożliwia to lokalnym użytkownikom bez uprawnień potencjalne wykonanie kodu z podniesionymi uprawnieniami SYSTEM. Atakujący może wstrzyknąć złośliwe pliki wykonywalne, które zostaną uruchomione z wysokimi uprawnieniami systemowymi.

W AnyDesk do wersji 9.0.4 zdalnie połączony użytkownik z uprawnieniem "Control my device" może manipulować zdalnymi ustawieniami AnyDesk i utworzyć hasło dla profilu Full Access bez potwierdzenia drugiej strony. Następnie atakujący może łączyć się bez tej zgody.

W AnyDesk dla Windows przed wersją 9.0.6 oraz AnyDesk dla Android przed wersją 8.0.0 występuje problem, gdy połączenie między klientami jest nawiązywane przez adres IP — możliwa jest manipulacja danymi i podszycie się pod identyfikator AnyDesk.

AnyDesk 7.0.9 umożliwia lokalnemu użytkownikowi podniesienie uprawnień do SYSTEM poprzez dowiązanie symboliczne. Użytkownik może zapisywać dane w swoim folderze %APPDATA% (używanym dla ad.trace i czatu), ale aplikacja działa jako SYSTEM podczas zapisu danych czatu w tym folderze.