Onderzoekers hebben een werkende AnyDesk Linux exploit gepubliceerd voor een kwetsbaarheid die al leidt tot remote code execution vóórdat iemand een verbinding goedkeurt. Voor beheerders is dat een belangrijk signaal: de aanval begint in de pre-auth fase, waardoor bescherming niet alleen rond “toestemming” moet worden georganiseerd.
AnyDesk heeft de fout wel gepatcht, maar de oorspronkelijke changelog omschreef de fix erg beperkt en er werd geen CVE of formele security advisory genoemd. Inmiddels is er wél praktische exploitcode beschikbaar, wat het urgent maakt om de juiste versies te installeren en de blootstelling te beperken.
Wat maakt deze AnyDesk Linux exploit zo risicovol?
De kern van het probleem is dat de kwetsbaarheid pre-auth draait: aanvallers hoeven geen goedgekeurde remote sessie te hebben. In plaats daarvan kan een speciaal vervaardigd pakket het proces misleiden in het sessieprotocol, met uiteindelijk root-toegang als resultaat.
Volgens de onderzoekers werkt de exploit niet “generiek overal”, maar wel op een manier die nog steeds relevant is voor veel omgevingen: hij is gekoppeld aan een specifiek scenario in de netwerkroute en aan de heap-toestand van de server.
Welke versie moet u gebruiken?
AnyDesk bracht een fix uit in versie 8.0.3, nadat de onderzoekers het probleem al in juni hadden gecommuniceerd. De onderzoekers geven aan dat administrators moeten updaten naar minstens 8.0.3. De nieuwste release is 8.1.0.
Op 10 oktober is de exploitcode onder de naam AnyPwn gedeeld op GitHub. Dat verhoogt de kans dat de kwetsbaarheid sneller wordt misbruikt zodra organisaties onjuist of te laat patchen.
Hoe werkt de aanval (op hoofdlijnen)?
De AnyDesk Linux exploit richt zich op een heap buffer overflow in het session protocol van AnyDesk. Dat is een typische combinatie die kan leiden tot geheugen-corruptie, waarbij een aanvaller controle kan krijgen over de uitvoering.
Concreet beschrijft het onderzoek een probleem in de manier waarop de service de benodigde geheugengrootte berekent. Daarbij speelt 32-bit rekenkunde een rol: door een payloadlengte te kiezen die optelt in een 32-bit context, kan de berekende allocatiegrootte “terugspringen”. Hierdoor wordt te weinig geheugen gereserveerd, terwijl er later wél meer data wordt weggeschreven.
De overflow corrumpeert vervolgens aangrenzende objecten op de heap. De exploit gebruikt daarna een ROP-chain om een arbitrair commando uit te voeren als root.
Niet overal even betrouwbaar: probabilistische exploit
Een opvallend detail is dat de exploit probabilistisch werkt. Dat betekent dat de exacte heap-layout moet kloppen: een doelobject moet naast het overflowende buffer-object terechtkomen. Als dat niet lukt, crasht de dienst in plaats van dat de code-eigenschappen worden misbruikt.
Daarnaast wijzen de onderzoekers erop dat de offsets in de gepubliceerde code zijn afgestemd op AnyDesk Linux 8.0.2. Voor andere builds zijn mogelijk aangepaste waarden nodig. Dat laat onverlet dat het risico reëel blijft voor organisaties die nog op kwetsbare versies draaien.
Directe TCP-verbinding versus relay servers
De onderzoekers bevestigen dat de exploit alleen is gevalideerd over directe TCP-verbindingen op poort 7070. AnyDesk gebruikt ook relay servers wanneer een directe verbinding niet mogelijk is.
Volgens het onderzoek is hetzelfde kwetsbare codepad bereikbaar via relays. Ze hebben dat aangetoond met een Frida-instrumentatietrigger, maar de onderzoekers hebben de volledige exploit-chain over relayverbindingen niet afgerond of gedemonstreerd.
AnyDesk stelde in juni dat de kwetsbaarheid beperkt is tot directe verbindingen op Linux (dus verbindingen die niet via hun relays lopen). Windows en macOS zouden niet zijn getroffen.
Geen CVE of advisory: waarom dat u niet mag vertragen
Tot 9 oktober was er geen CVE toegewezen en had AnyDesk geen formele security advisory uitgebracht. In de praktijk is dat vooral jammer voor de snelle herkenning door security-teams die leunen op CVE-databases en gestandaardiseerde risk scoring.
Dat neemt niet weg dat patching juist nu prioriteit krijgt. De aanwezigheid van een werkende exploitcode maakt de “hoe groot is het risico”-vraag in één klap praktischer: wie kwetsbaar is en blootgesteld wordt op de relevante poort, loopt direct meer kans.
Wat als u niet meteen kunt updaten?
Als het patchvenster beperkt is, adviseren de onderzoekers om de blootstelling te verminderen door toegang tot TCP-poort 7070 te beperken. Dat verkleint de kans dat aanvallers de pre-auth service überhaupt kunnen bereiken.
Belangrijk: deze maatregel is een tussenstap. De structurele oplossing blijft het updaten naar 8.0.3 of hoger (liefst 8.1.0).
Let ook op dat het onderzoek nog open laat of exploitation volledig effectief is via relayverbindingen. Maar “onbevestigd” betekent niet “veilig”, zeker niet wanneer hetzelfde kwetsbare codepad mogelijk betrokken is.
Vergelijkbare lessen uit eerdere aanvallen
Deze casus past in een bredere trend: aanvallers proberen steeds vaker toegang af te dwingen vóórdat verificatie of admin-interactie plaatsvindt. Dat maakt patch management, netwerksegmentatie en exposure-controls extra belangrijk.
Als u wilt vergelijken met andere recente issues en hoe patches/waarschuwingen worden opgevolgd, kunt u bijvoorbeeld ook kijken naar routerbeveiliging onder vuur door rechtszaken en naar de aanpak rond Cisco-patches voor kritieke kwetsbaarheden.
Extra context: eerder AnyDesk-incidenten
Het onderzoek vermeldt bovendien dat AnyDesk begin 2024 was gehackt in een aparte incidentreeks waarbij productiesystemen werden geraakt. Daarbij leidde dat tot certificate revocations en het forceren van password resets.
Hoewel dat incident los staat van deze specifieke pre-auth heap overflow, onderstreept het wel hoe belangrijk het is om supply chain en omgevingshardening niet te laten verslappen zodra er “maar één” kwetsbaarheid opduikt.
Praktische checklist voor beheerders
- Update AnyDesk Linux direct naar minstens 8.0.3 (latest: 8.1.0).
- Beperk TCP 7070 tot benodigde netwerken/hosts. Zet exposure zo snel mogelijk terug.
- Controleer versies en deployment: inventariseer waar 8.0.2 of lager draait.
- Hanteer compensating controls totdat patching klaar is (firewall rules, segmentatie, logging).
- Monitor op tekenen van misbruik in netwerk- en applicatielogboeken rond verbindingen naar de AnyDesk-service.
Conclusie
De publicatie van een AnyDesk Linux exploit maakt de pre-auth kwetsbaarheid concreet: aanvallers kunnen vóór autorisatie proberen code uit te voeren en in het gunstigste geval root verkrijgen. Omdat de exploitcode beschikbaar is en de juiste mitigatie niet “later” maar nu nodig is, is de boodschap helder: update naar 8.0.3 of hoger en beperk TCP 7070 als tijdelijke noodmaatregel.
Bron: https://thehackernews.com/2026/10/researchers-publish-working-exploit-for.html
