Програма виявилася вразливою ще до появи запиту на підключення. 

Стандартний запит на підтвердження віддаленого доступу виявився неефективним проти вразливості, яка спрацьовує ще до того, як користувача запитують авторизацію. Команда V12 випустила робочий експлойт під назвою "AnyPwn" для AnyDesk на Linux, що дозволяє виконувати команди з правами root без необхідності введення пароля чи підтвердження з'єднання. Для запуску атаки потрібен лише мережевий доступ до вразливого сервісу.


AnyPwn атакує AnyDesk Linux версії 8.0.2 через пряме TCP-з'єднання на порту 7070. Вразливість знаходиться в обробнику пакетів протоколу сеансу та призводить до переповнення буфера купи. Оскільки служба AnyDesk у Linux зазвичай працює з правами root, успішний експлойт негайно надає зловмиснику максимальні системні привілеї та контроль над хостом.


Помилка виникає під час обчислення розміру буфера. Обробник додає 16-байтовий заголовок до оголошеної довжини даних, використовуючи 32-бітну арифметику без перевірки на переповнення. Коли значення 0xFFFFFFF0 додається до 0x10, воно обертається до нуля; отже, програма виділяє крихітний сегмент пам'яті, але все одно обробляє довжину пакета як величезну, записуючи дані за межі буфера.


Після пошкодження суміжних об'єктів пам'яті експлойт використовує ланцюжок ROP (програмування, орієнтоване на повернення) — побудову послідовності виконання команд з існуючих фрагментів машинного коду. Успіх не гарантується з першої спроби; якщо потрібний об'єкт не знаходиться поруч із переповненим буфером, служба просто аварійно завершує роботу. Опубліковані виправлення призначені для конкретної збірки, 8.0.2. 

Specialists reported the issue on June 22, and AnyDesk released version 8.0.3 the very next day. In the changelog, the company listed only a fix for a crash-causing bug, without issuing a separate security bulletin. As of October 12, no CVE identifier has been assigned to AnyPwn, meaning there is no official CVSS score either; this presentation may have led administrators to underestimate the urgency of the June update.


A fully functional exploit has been demonstrated only for direct connections via TCP port 7070. While the vulnerable code path could also be reached via AnyDesk relays, the team did not demonstrate a working exploit chain to gain root access through that route. AnyDesk previously stated that the issue was limited to direct Linux connections and did not affect the Windows or macOS versions.


There have been no public reports of attacks involving AnyPwn so far. To ensure protection, it is recommended to update the Linux version of AnyDesk to at least 8.0.3, or ideally to the current version, 8.1.0. If updating is not possible, access to TCP port 7070 should be restricted to trusted nodes. A different vulnerability capable of disrupting the application's operation had previously been discovered in AnyDesk, but the new AnyPwn flaw is more dangerous due to the potential for remote command execution with root privileges.