CVE-2025-27918

AnyDesk przed wersją 8.0.3 umożliwia nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu przez przepełnienie sterty, co wykazano na Linuksie jako wykonanie poleceń jako root bez zatwierdzenia kontroli pulpitu przez ofiarę. W obsłudze pakietów strumieniowych dla trybu 5 w protokole sesji nie jest weryfikowana długość ładunku.

AnyDesk w wersjach przed 3.6.1 na systemie Windows ma podatność na wstrzykiwanie DLL.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez nadużycie funkcji „Wyślij informacje pomocnicze”. Atak wymaga uprzedniego uzyskania niskiego poziomu uprawnień w systemie.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez manipulację plikami nagrań ekranu. Wymaga to uprzedniego uzyskania możliwości wykonania kodu o niskich uprawnieniach na docelowym systemie.

AnyDesk w wersji 2.5.0 zawiera podatność związaną z niecytowaną ścieżką usługi, która umożliwia lokalnym użytkownikom wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez wykorzystanie instalacji usługi. Atakujący mogą umieścić złośliwe pliki wykonywalne w ścieżce głównej systemu, które są uruchamiane z podwyższonymi uprawnieniami podczas uruchamiania aplikacji lub restartu systemu.

AnyDesk w wersjach 7.0.15 i 9.0.1 zawiera podatność niezastosowania cudzysłowów w ścieżce usługi (unquoted service path). Umożliwia to lokalnym użytkownikom bez uprawnień potencjalne wykonanie kodu z podniesionymi uprawnieniami SYSTEM. Atakujący może wstrzyknąć złośliwe pliki wykonywalne, które zostaną uruchomione z wysokimi uprawnieniami systemowymi.

W AnyDesk do wersji 9.0.4 zdalnie połączony użytkownik z uprawnieniem "Control my device" może manipulować zdalnymi ustawieniami AnyDesk i utworzyć hasło dla profilu Full Access bez potwierdzenia drugiej strony. Następnie atakujący może łączyć się bez tej zgody.

W AnyDesk dla Windows przed 9.0.5, macOS przed 9.0.1, Linux przed 7.0.0, iOS przed 7.1.2 oraz Android przed 8.0.0 występuje zdalna odmowa usługi (DoS) spowodowana nieprawidłową deserializacją, która prowadzi do nieudanej alokacji pamięci i dereferencji wskaźnika NULL. Atakujący może wywołać awarię aplikacji zdalnie.

W AnyDesk dla Windows przed wersją 9.0.6 oraz AnyDesk dla Android przed wersją 8.0.0 występuje problem, gdy połączenie między klientami jest nawiązywane przez adres IP — możliwa jest manipulacja danymi i podszycie się pod identyfikator AnyDesk.

AnyDesk 7.0.9 umożliwia lokalnemu użytkownikowi podniesienie uprawnień do SYSTEM poprzez dowiązanie symboliczne. Użytkownik może zapisywać dane w swoim folderze %APPDATA% (używanym dla ad.trace i czatu), ale aplikacja działa jako SYSTEM podczas zapisu danych czatu w tym folderze.