CVE-2025-34499
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
AnyDesk w wersjach 7.0.15 i 9.0.1 zawiera podatność niezastosowania cudzysłowów w ścieżce usługi (unquoted service path). Umożliwia to lokalnym użytkownikom bez uprawnień potencjalne wykonanie kodu z podniesionymi uprawnieniami SYSTEM. Atakujący może wstrzyknąć złośliwe pliki wykonywalne, które zostaną uruchomione z wysokimi uprawnieniami systemowymi.
Ocena ryzyka
Lokalny użytkownik bez uprawnień może uzyskać pełną kontrolę nad systemem jako SYSTEM. Prowadzi to do całkowitego przejęcia stacji roboczej lub serwera.
Rekomendacja
Zaktualizuj AnyDesk do wersji nowszej niż 9.0.1 lub zastosuj obejście polegające na poprawieniu ścieżki usługi (dodanie cudzysłowów). Ogranicz możliwość zapisu w katalogach, do których odwołuje się niezabezpieczona ścieżka usługi.
Inne podatności w AnyDesk
Zobacz wszystkie- CVE-2026-109390Krytyczne
AnyDesk przed wersją 8.0.3 umożliwia nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu przez przepełnienie sterty, co wykazano na Linuksie jako wykonanie poleceń jako root bez zatwierdzenia kontroli pulpitu przez ofiarę. W obsłudze pakietów strumieniowych dla trybu 5 w protokole sesji nie jest weryfikowana długość ładunku.
- CVE-2017-14397Krytyczne
AnyDesk w wersjach przed 3.6.1 na systemie Windows ma podatność na wstrzykiwanie DLL.
- CVE-2026-15682Średnie
Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez nadużycie funkcji „Wyślij informacje pomocnicze”. Atak wymaga uprzedniego uzyskania niskiego poziomu uprawnień w systemie.
- CVE-2026-15681Średnie
Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez manipulację plikami nagrań ekranu. Wymaga to uprzedniego uzyskania możliwości wykonania kodu o niskich uprawnieniach na docelowym systemie.
- CVE-2016-20094Wysokie
AnyDesk w wersji 2.5.0 zawiera podatność związaną z niecytowaną ścieżką usługi, która umożliwia lokalnym użytkownikom wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez wykorzystanie instalacji usługi. Atakujący mogą umieścić złośliwe pliki wykonywalne w ścieżce głównej systemu, które są uruchamiane z podwyższonymi uprawnieniami podczas uruchamiania aplikacji lub restartu systemu.
- CVE-2022-32450Wysokie
AnyDesk 7.0.9 umożliwia lokalnemu użytkownikowi podniesienie uprawnień do SYSTEM poprzez dowiązanie symboliczne. Użytkownik może zapisywać dane w swoim folderze %APPDATA% (używanym dla ad.trace i czatu), ale aplikacja działa jako SYSTEM podczas zapisu danych czatu w tym folderze.
Oryginalny opis (angielski, źródło NVD)
AnyDesk 7.0.15 and 9.0.1 contains an unquoted service path vulnerability that allows local non-privileged users to potentially execute code with elevated SYSTEM privileges. Attackers can exploit the unquoted service path configuration to inject malicious executables that will be run with high-level system permissions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS