W aplikacji AnyDesk przeznaczonej na systemy Linux odkryto krytyczną podatność typu remote code execution (RCE), która pozwala na zdalne wykonanie kodu przed autoryzacją połączenia. Luka, nazwana AnyPwn, wynika z błędu przepełnienia bufora sterty (heap buffer overflow) w protokole sesji AnyDesk. Atak celuje w bezpośrednie połączenia TCP realizowane na porcie 7070.
Mechanizm ataku polega na manipulacji obsługą pakietów, co umożliwia wstrzyknięcie komend i ich wykonanie z najwyższymi uprawnieniami systemowymi. Choć exploit ma charakter probabilistyczny i wymaga specyficznego układu sterty, badacze wykazali, że atak może być przeprowadzony również poprzez serwery relay AnyDesk. Problem dotyczy wyłącznie wersji na system Linux; użytkownicy Windows oraz macOS pozostają bezpieczni.
Producent wydał już poprawkę, która została wprowadzona w wersji 8.0.3 w czerwcu. Warto jednak zauważyć, że proces łatania był mało transparentny, a w dzienniku zmian wspomniano jedynie o naprawie błędów powodujących awarie aplikacji. Administratorzy powinni niezwłocznie zaktualizować oprogramowanie lub ograniczyć dostęp do portu 7070.
