Investigadores de seguridad han publicado un exploit completamente funcional, denominado “AnyPwn”, para una vulnerabilidad de ejecución remota de código (RCE) pre-autenticación en AnyDesk para Linux. Esta falla crítica permite a los atacantes obtener acceso de root a los sistemas afectados sin necesidad de aprobación de conexión, impactando gravemente a las organizaciones que utilizan versiones vulnerables de este popular software de escritorio remoto.
La vulnerabilidad se origina en un desbordamiento de búfer de pila (heap buffer overflow) dentro del protocolo de sesión de AnyDesk. Específicamente, afecta las conexiones TCP directas en el puerto 7070. Un atacante puede enviar una carga útil con una longitud manipulada (0xFFFFFFF0), provocando un desbordamiento de entero durante la asignación del búfer. Esto resulta en un búfer de tamaño insuficiente, permitiendo que datos arbitrarios sobrescriban regiones de memoria adyacentes y, en consecuencia, la ejecución de comandos con privilegios de root. Aunque el exploit publicado se enfoca en AnyDesk Linux 8.0.2 y es probabilístico, la ruta de código vulnerable podría ser accesible también a través de los servidores de retransmisión de AnyDesk.
AnyDesk abordó esta vulnerabilidad en la versión 8.0.3, lanzada en junio. Sin embargo, la descripción de la corrección en su registro de cambios fue genérica (“solucionado un error que podía provocar un bloqueo”), sin asignación de un CVE ni la emisión de un aviso de seguridad formal. La versión más reciente disponible es la 8.1.0. Es imperativo que los administradores actualicen de inmediato todas las instalaciones de AnyDesk Linux a la versión 8.0.3 o posterior. Como medida de mitigación temporal, si la actualización no es posible de inmediato, se recomienda restringir el acceso al puerto TCP 7070.
Qué significa para tu empresa: Este tipo de vulnerabilidades de acceso pre-autenticación subraya la necesidad de una estrategia de seguridad gestionada por capas robusta. Más allá de los parches, contar con un firewall perimetral (NGFW) que controle el acceso a puertos críticos como el 7070, junto con la protección de endpoints (EDR/XDR) para detectar y bloquear actividades maliciosas post-explotación, es fundamental. Además, un SOC con monitoreo 24/7 permitiría la detección temprana de anomalías o intentos de explotación, incluso de vulnerabilidades sin CVE o avisos públicos claros.
Fuente original: The Hacker News — ver artículo →