Manipulation von AnyDesk-Einstellungen durch verbundenen Benutzer

Beschreibung

In AnyDesk bis einschliesslich Version 9.0.4 kann ein remote verbundener Benutzer mit der Berechtigung "Control my device" die Einstellungen der Gegenstelle manipulieren und ohne deren Bestätigung ein Passwort für das Full-Access-Profil setzen. Dadurch kann der Angreifer sich später ohne Bestätigung der Gegenstelle verbinden. CVSS-Basiswert: 8.2 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in AnyDesk

• AnyDesk vor 8.0.3: Heap-Pufferüberlauf ermöglicht Codeausführung CVE-2026-109390
• AnyDesk 2.5.0: Codeausführung mit SYSTEM-Rechten über ungequoteten Dienstpfad CVE-2016-20094
• Unquoted Service Path in AnyDesk 5.4.0 CVE-2019-25261
• AnyDesk für Windows und Android: Spoofing der AnyDesk-ID bei IP-basierter Verbindung CVE-2025-27916
• AnyDesk: Denial-of-Service über Link-Following bei der Bildschirmaufzeichnung CVE-2026-15681
• AnyDesk: Denial of Service durch Link-Following in Support Information CVE-2026-15682