Kerngegevens
- Leverancier
- AnyDesk
- Product
- AnyDesk
- Soort software
- remote beheer
- Getroffen versies
- AnyDesk voor Linux 8.0.0 t/m 8.0.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- AnyDesk voor Linux 8.0.3
- CVE gepubliceerd
- 12 oktober 2026
- Gepubliceerd op LekkenRadar
- 12 oktober 2026
- Laatst gewijzigd bij NVD
- 12 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In AnyDesk voor Linux, versie 8.0.0 tot 8.0.3, zit een fout in de verwerking van datapakketten van het sessieprotocol. Een aanvaller kan via het netwerk een speciaal pakket sturen waarvan de opgegeven lengte niet wordt gecontroleerd. Daardoor kan geheugen worden overschreven en kan de aanvaller eigen code laten uitvoeren, zonder in te loggen. Het lek heeft ernst kritiek, met een score van 9,8.
Wie loopt risico?
Je loopt risico als je AnyDesk voor Linux versie 8.0.0, 8.0.1 of 8.0.2 gebruikt. De aanvaller hoeft geen account te hebben en jij hoeft niets goed te keuren. Er is aangetoond dat zo commando's als root kunnen worden uitgevoerd, zonder dat de gebruiker toestemming geeft voor bediening van het bureaublad. Er staat openbare aanvalscode online. Het lek staat niet op de lijst van actief misbruikte lekken. AnyDesk voor Windows en macOS wordt in de brongegevens niet als getroffen genoemd.
Wat moet je doen?
Controleer je Linux-systemen
Kijk op alle Linux-computers en -servers waar AnyDesk staat welke versie draait. Versies 8.0.0 tot en met 8.0.2 zijn kwetsbaar.
Werk AnyDesk bij
Installeer AnyDesk 8.0.3 of nieuwer voor Linux. De nieuwste versie is 8.1.0. Het changelog van AnyDesk voor Linux vermeldt de wijzigingen per versie.
Beperk blootstelling tot het nodig is
Kun je nog niet meteen bijwerken, sluit AnyDesk dan af op systemen waar je het niet nodig hebt en beperk netwerktoegang tot het programma.
Let op ongebruikelijke activiteit
Er staat openbare aanvalscode online. Controleer op systemen met een oudere versie of er onverwachte processen of verbindingen zijn, vooral waar AnyDesk als root draait.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de handler voor streampakketten in modus 5 van het sessieprotocol van AnyDesk. Een lengtewaarde voor de payload wordt niet gevalideerd, waardoor een heap-gebaseerde bufferoverloop ontstaat. Een niet-geauthenticeerde aanvaller kan dit via het netwerk misbruiken, zonder gebruikersinteractie. Op Linux is aangetoond dat dit leidt tot uitvoering van commando's als root. De CVSS-vector is CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, met een score van 9,8.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-130 · Onjuiste verwerking van inconsistente lengteparameters
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,6%
- Aanvalscode openbaar
- Ja