PoC exploit lansat pentru o vulnerabilitate în AnyDesk

O vulnerabilitate recent dezvăluită în AnyDesk, un software popular de desktop la distanță, identificată ca CVE-2024-12754, permite atacatorilor locali să exploateze gestionarea imaginilor de fundal Windows pentru a obține acces neautorizat la fișiere de sistem sensibile.

Acest lucru le-ar putea spori privilegiile la niveluri administrative, reprezentând o amenințare semnificativă la adresa securității sistemului.

Vulnerabilitatea a fost clasificată în categoria CWE-59 (Improper Link Resolution Before File Access) și i s-a atribuit un scor CVSS de 5.5/10 cu grad de severitate mediu.

Vulnerabilitatea constă în modul în care AnyDesk procesează imaginile de fundal ale desktop-ului în timpul inițializării sesiunii.

La inițierea unei sesiuni, AnyDesk copiază imaginea de fundal curentă a desktop-ului în directorul C:\Windows\Temp. Această operațiune este executată de serviciul AnyDesk care rulează sub contul NT AUTHORITY\SYSTEM, care are privilegii ridicate.

Atacatorii cu privilegii reduse pot manipula acest proces prin pre-crearea de fișiere în directorul C:\Windows\Temp sau prin valorificarea link-urilor symbolice (junctions).

Atunci când AnyDesk copiază imaginea de fundal a desktop-ului, acesta păstrează proprietatea și permisiunile contului SYSTEM. Acest lucru face ca fișierul copiat să fie inaccesibil în mod implicit utilizatorilor cu privilegii reduse.

Atacatorii creează o joncțiune (un tip de link symbolic) care redirecționează operațiunea de copiere a fișierelor AnyDesk către directoare sensibile precum \Device\HarddiskVolumeShadowCopy1\Windows\System32\CONFIG.

Acest lucru permite atacatorilor să obțină acces la fișiere critice precum SAM (Security Account Manager), SYSTEM și SECURITY.

Pentru a remedia această vulnerabilitate, AnyDesk a lansat un patch în versiunea 9.0.1 și versiunile ulterioare. Utilizatorii sunt sfătuiți să își actualizeze software-ul imediat.

Sursă: https://cybersecuritynews.com/poc-exploit-released-for-anydesk-vulnerability-exploited/