เผยแพร่ exploit ใช้งานได้จริง AnyPwn เจาะ AnyDesk บน Linux ก่อนยืนยันตัวตน ได้สิทธิ์ root — แก้เงียบในเวอร์ชัน 8.0.3 ไม่มี CVE ไม่มีประกาศความปลอดภัย

สรุปสั้น

นักวิจัยจากทีม V12 เผยแพร่ exploit ชื่อ AnyPwn บน GitHub เมื่อ 8 ตุลาคม 2569 สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ซอฟต์แวร์ควบคุมเครื่องระยะไกลยอดนิยม ผู้โจมตีได้สิทธิ์ root บนเครื่องเป้าหมายก่อนที่ใครจะกดยอมรับการเชื่อมต่อ ต้นเหตุคือการคำนวณขนาดหน่วยความจำแบบ 32 บิตที่ไม่ตรวจ overflow ในโปรโตคอล session ทำให้ระบบจองบัฟเฟอร์เล็กจิ๋วแต่ยอมให้เขียนข้อมูลยาวเกินขอบเขต จนกลายเป็น heap buffer overflow ที่ใช้ ROP chain รันคำสั่งได้

AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่า “แก้บั๊กที่อาจทำให้ crash” จนถึง 9 ตุลาคมยังไม่มีหมายเลข CVE และ AnyDesk ไม่ได้ออกประกาศความปลอดภัยอย่างเป็นทางการ ผู้ดูแลระบบที่ตัดสินลำดับการอัปเดตจาก changelog จึงอาจไม่รู้ว่านี่คือแพตช์ความปลอดภัยระดับวิกฤต exploit ที่เผยแพร่ทำงานผ่านการเชื่อมต่อ TCP ตรงที่พอร์ต 7070 นักวิจัยระบุว่าโค้ดส่วนที่มีช่องโหว่เข้าถึงได้ผ่านเซิร์ฟเวอร์ relay ด้วย แต่ยังไม่ได้สาธิตการโจมตีครบ chain ผ่าน relay และ AnyDesk ยืนยันว่า Windows และ macOS ไม่ได้รับผลกระทบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่านักวิจัยแจ้งช่องโหว่เมื่อ 22 มิถุนายน AnyDesk รับทราบในวันถัดมาและออกเวอร์ชัน 8.0.3 ที่แก้ไข ขณะนั้น AnyDesk ระบุว่าช่องโหว่ “จำกัดเฉพาะการเชื่อมต่อตรงบน Linux (การเชื่อมต่อที่ไม่ผ่าน relay ของเรา) Windows และ macOS ไม่ได้รับผลกระทบ” ผู้ค้นพบคือนาย Rick de Jager จากทีม V12 ซึ่งใช้เครื่องมือตรวจโค้ดด้านความปลอดภัยชื่อ V12 ผู้ก่อตั้ง V12 เคยก่อตั้งบริษัทความปลอดภัย Zellic และนำทีมแข่งแฮ็ก Perfect Blue

exploit ที่เผยแพร่เป็นแบบอาศัยความน่าจะเป็น โครงสร้าง heap ต้องวางออบเจกต์เป้าหมายไว้ติดกับบัฟเฟอร์ที่ล้น มิฉะนั้นบริการจะ crash แทนการรันคำสั่งของผู้โจมตี ค่า offset ในโค้ดเจาะจง AnyDesk Linux build 8.0.2 build อื่นต้องใช้ค่าต่างออกไป นักวิจัยบอกเป็นนัยว่าเวอร์ชันเก่ากว่า เช่น 8.0.1 อาจมีโค้ดส่วนเดียวกัน แต่ยังไม่ได้ยืนยันว่าเจาะได้

ข้อสังเกตอีกประการคือหน้าดาวน์โหลดของ AnyDesk ไม่มีเวอร์ชัน 8.0.2 แล้ว แม้ยังปรากฏใน changelog นักวิจัยเขียนว่า “ดูเหมือนผู้ผลิตจะลบ (?) build 8.0.2 ของ AnyDesk ทิ้งหลังวิดีโอ PoC ของเราเผยแพร่”

รายละเอียดช่องโหว่

โปรโตคอล session ของ AnyDesk ใช้แพ็กเก็ต stream แบบ mode-5 ตัวจัดการแพ็กเก็ตคำนวณขนาดหน่วยความจำที่ต้องจองโดยบวกส่วนหัว 16 ไบต์เข้ากับความยาว payload ที่แพ็กเก็ตประกาศ ด้วยเลขคณิต 32 บิตที่ไม่ตรวจ overflow exploit ประกาศความยาว payload เป็น 0xFFFFFFF0 เมื่อบวก 0x10 ผลลัพธ์ 32 บิตวนกลับเป็นศูนย์ ระบบจึงจองบัฟเฟอร์ขนาดเล็กมาก แต่ออบเจกต์ยังจำความยาวเดิมที่ใหญ่มากไว้ ข้อมูลของผู้โจมตีแม้เพียง 1 ไบต์ก็เขียนเลยขอบบัฟเฟอร์ทันที การล้นนี้ทำลายฟิลด์ของออบเจกต์ข้างเคียงบน heap จากนั้น exploit ใช้ ROP chain รันคำสั่งใดก็ได้ด้วยสิทธิ์ root

ช่องโหว่นี้เป็นคนละตัวกับ CVE-2025-27918 ซึ่งเป็น heap buffer overflow อีกรายการของ AnyDesk ที่แก้ในเวอร์ชัน 7.0.0 เมื่อเมษายน 2568 ตัวนั้นกระทบทุกแพลตฟอร์มและเกิดจาก integer overflow ในการประมวลผลรูปภาพผู้ใช้ ไม่ใช่โปรโตคอล session

ผลกระทบ

ซอฟต์แวร์ควบคุมเครื่องระยะไกลถูกออกแบบให้รับการเชื่อมต่อจากภายนอกอยู่แล้ว ช่องโหว่ที่ทำงานก่อนผู้ใช้กดอนุญาตจึงทำลายจุดควบคุมสำคัญที่สุดของซอฟต์แวร์ประเภทนี้ เครื่อง Linux ที่ลง AnyDesk ไว้เพื่อให้ทีมไอทีหรือผู้ให้บริการภายนอกเข้ามาดูแล เช่น เซิร์ฟเวอร์ เครื่องหน้าร้าน หรือเครื่องควบคุมในโรงงาน อาจถูกยึดด้วยสิทธิ์ root โดยไม่มีใครเห็นหน้าจอขออนุญาต แม้ exploit ไม่ได้สำเร็จทุกครั้ง แต่ความล้มเหลวทำให้บริการ crash ซึ่งผู้โจมตีลองซ้ำได้

การแก้แบบเงียบเป็นปัญหาซ้อน เมื่อไม่มี CVE เครื่องมือสแกนช่องโหว่และระบบจัดการแพตช์ที่อิงฐานข้อมูล CVE จะไม่แจ้งเตือน องค์กรจึงต้องรู้เองจากข่าวลักษณะนี้ และตอนนี้ exploit ที่ใช้งานได้ถูกเผยแพร่แล้ว เครื่องที่ยังค้างอยู่ที่ 8.0.2 หรือเก่ากว่าจึงเสี่ยงทันที

คำแนะนำ

• อัปเดต AnyDesk บน Linux เป็นอย่างน้อย 8.0.3 (แนะนำ 8.1.0 ล่าสุด) และสำรวจเครื่อง Linux ทั้งหมดในองค์กรที่ติดตั้ง AnyDesk ไว้ เพราะเครื่องมือสแกนที่อิง CVE อาจไม่พบ
• ระหว่างรออัปเดต ให้จำกัดการเข้าถึง TCP พอร์ต 7070 ด้วยไฟร์วอลล์ และไม่เปิดพอร์ตนี้สู่อินเทอร์เน็ต
• ถอน AnyDesk ออกจากเครื่องที่ไม่ได้ใช้แล้ว และกำหนดเครื่องมือ remote access ที่องค์กรอนุญาตให้ชัดเจน
• เฝ้าระวังบริการ AnyDesk ที่ crash ซ้ำหลายครั้ง ซึ่งอาจเป็นสัญญาณของการพยายามเจาะ และตรวจหาโปรเซสลูกที่ผิดปกติซึ่งรันด้วยสิทธิ์ root จากบริการ AnyDesk
• ผู้ผลิตซอฟต์แวร์ควรระบุแพตช์ความปลอดภัยให้ชัดใน changelog และขอ CVE เพื่อให้ผู้ใช้จัดลำดับความสำคัญได้ถูกต้อง

แหล่งอ้างอิง

• The Hacker News — Researchers Publish Working Exploit for Pre-Auth AnyDesk Linux Flaw That Gives Root Access
• GitHub — v12-security/pocs (AnyDesk)
• AnyDesk — Linux changelog
• Tenable — CVE-2025-27918