AnyPwn donne root sur AnyDesk Linux avant toute connexion via un dépassement de tas
Le 8 octobre 2026, un exploit public nommé AnyPwn rend exploitable une exécution de code pré-authentification sur AnyDesk Linux : un dépassement de tas dans le protocole de session donne root, corrigé en 8.0.3 mais sans CVE ni avis de sécurité. Mettez à jour vers 8.1.0 et restreignez le port TCP 7070 en attendant.
22 juin 2026. Des chercheurs annoncent une faille de sécurité dans AnyDesk Linux. 8 octobre 2026. Un exploit public, AnyPwn, transforme la faille en root pré-authentification. 9 octobre 2026. Aucun CVE n’a encore été attribué et AnyDesk n’a publié aucun avis de sécurité. Pourquoi c’est important : AnyDesk est l’outil d’accès distant installé sur des millions de postes Linux ; une exécution de code à distance qui donne root avant même qu’on approuve la connexion est le pire scénario pour un logiciel dont le rôle est précisément de laisser entrer.
Un correctif qui n’annonce pas la couleur
La chronologie est la partie la plus instructive. AnyDesk a corrigé la faille en juin 2026, dans la version 8.0.3. Mais son journal des modifications décrivait le correctif comme « la correction d’un bug qui pouvait conduire à un plantage ». Pas de CVE, pas d’avis de sécurité, pas de mention d’une exécution de code. Un administrateur qui lit le changelog y voit une correction de stabilité, pas une faille pré-authentification donnant root.
Ce silence transforme une vulnérabilité grave en risque invisible. Les équipes qui mettent à jour en fonction des avis de sécurité — la pratique recommandée — n’ont eu aucun signal pour prioriser cette mise à jour. La faille est restée exploitable chez tous ceux qui n’avaient aucune raison de passer en 8.0.3.
Le détail le plus troublant vient après la publication de l’exploit : la page de téléchargement d’AnyDesk ne liste plus la version 8.0.2, la cible de l’exploit, alors qu’elle figure encore dans le changelog. « Le vendeur semble avoir supprimé le build 8.0.2 d’AnyDesk dès la sortie de notre vidéo de preuve de concept », écrivent les chercheurs, dubitatifs.
L’overflow : 0xFFFFFFF0 + 0x10 font zéro
La faille est un dépassement de tampon sur le tas, dans le protocole de session d’AnyDesk, qui utilise des paquets de flux « mode 5 ». Le gestionnaire calcule la taille de son allocation en ajoutant un en-tête de 16 octets à la longueur de charge déclarée, avec une arithmétique 32 bits sans contrôle de dépassement.
L’exploit déclare une longueur de charge de 0xFFFFFFF0. En ajoutant 0x10, le résultat 32 bits se replie à zéro : l’allocateur réserve un tout petit tampon, pendant que l’objet conserve la grande longueur d’origine. Un seul octet de données de l’attaquant suffit alors à écrire au-delà de la fin de l’allocation.
Le dépassement corrompt les champs des objets du tas adjacents. L’exploit utilise ensuite une chaîne ROP pour exécuter une commande arbitraire en tant que root. C’est le cœur de la gravité : la faille n’exige aucune authentification préalable — le dépassement se produit dans le traitement du protocole, avant toute approbation de connexion.
Ce que l’exploit démontre, et ce qu’il ne démontre pas
AnyPwn fonctionne sur les connexions TCP directes, sur le port 7070. Il est probabiliste : la disposition du tas doit placer un objet cible adjacent au tampon débordé, sinon le service plante au lieu d’exécuter la commande. Les offsets du code publié ciblent un build précis — AnyDesk Linux 8.0.2 — et d’autres builds exigeraient des valeurs différentes.
Les chercheurs affirment que le même chemin de code vulnérable est atteignable via les serveurs relais d’AnyDesk, utilisés quand une connexion directe est impossible. Ils l’ont validé avec un déclencheur instrumenté par Frida, sans démontrer la chaîne d’exploit complète sur les relais. AnyDesk a affirmé en juin que la vulnérabilité était « limitée aux connexions directes sur Linux (celles qui ne passent pas par nos relais) », et que Windows et macOS n’étaient pas affectés.
Il faut lire cette nuance avec prudence. Un exploit probabiliste et dépendant du build est plus difficile à industrialiser qu’un exploit déterministe, mais il reste un root pré-authentification sur une surface exposée par défaut. La question relais — résolue ou non — ne change rien à l’urgence de corriger les connexions directes.
Une chaîne de confiance brisée
La faille a été découverte par Rick de Jager, de l’équipe V12, à l’aide de V12, un moteur de revue de code de sécurité. Les fondateurs de V12 ont auparavant bâti la société Zellic et dirigé l’équipe de compétition Perfect Blue. Ce n’est pas une découverte fortuite : c’est le résultat d’un outillage de revue automatisé appliqué à un logiciel très déployé.
Ce n’est pas la première faille de ce type. AnyDesk a corrigé en avril 2025, dans la version 7.0.0, un autre dépassement de tas — CVE-2025-27918 — qui touchait cette fois toutes les plateformes, via un dépassement d’entier dans le traitement d’image utilisateur. Le mécanisme diffère de celui d’AnyPwn, mais la récurrence signale un motif : un code de session qui manipule des longueurs sans contrôle systématique de dépassement.
Et le contexte n’aide pas la confiance. AnyDesk a été piraté début 2024 dans un incident séparé : ses systèmes de production ont été compromis, entraînant des révocations de certificats et des réinitialisations forcées de mots de passe. Un outil d’accès distant qui cumule un historique de compromission et des correctifs silencieux doit être traité comme un vecteur, pas comme un utilitaire inerte.
Ce qu’il faut faire maintenant
La correction est simple, mais le signal a été si faible qu’il faut vérifier activement la version.
# Vérifier la version installée
anydesk --version
# La dernière version est 8.1.0 ; 8.0.3 est le minimum corrigé.
# Vérifier l'exposition directe du port 7070
ss -tlnp | grep 7070- Mettez à jour vers 8.1.0 (ou au minimum 8.0.3). Les versions 8.0.2 et antérieures sont vulnérables ; la 8.0.1 partage probablement le chemin de code fautif, même si son exploitation n’est pas confirmée.
- Restreignez le port TCP 7070 aux adresses de confiance si la mise à jour est impossible immédiatement. C’est la mesure de confinement qui réduit le plus la surface, puisque l’exploit publié passe par les connexions directes.
- Traitez l’absence de CVE comme un risque, pas comme un démenti. L’absence d’identifiant ne signifie pas l’absence de faille ; elle signifie que vos outils de scan ne la remonteront pas. Le patch doit venir de la version, pas du flux CVE.
- Auditez les autres outils d’accès distant. Le même schéma — port ouvert, protocole maison, correctifs discrets — vaut pour l’ensemble de la famille des logiciels de remote access.
Verdict
Si vous avez AnyDesk sur un poste Linux, mettez à jour vers 8.1.0 dès aujourd’hui et vérifiez que rien n’écoute le port 7070 en exposition directe — l’exploit public fait passer le risque de théorique à immédiat. Si vous ne pouvez pas mettre à jour, coupez l’accès réseau direct au port 7070 et forcez le passage par une passerelle de confiance. Si vous évaluez un outil d’accès distant pour votre parc, intégrez la qualité de ses avis de sécurité dans vos critères : un correctif qui ne dit pas qu’il corrige une RCE pré-authentification est un signal d’alarme aussi fort que la faille elle-même.