TeamViewer, CVE-2026-111585: hostul malițios atacă tehnicianul

Pe 30 octombrie, SecurityWeek, heise Security și The Hacker News au relatat despre o vulnerabilitate corectată de TeamViewer care inversează modelul obișnuit al asistenței de la distanță: în pericol nu este computerul controlat, ci cel al tehnicianului care se conectează. Vulnerabilitatea, CVE-2026-111585 (CVSS 8.8), este un integer overflow în componenta care procesează ecranul de la distanță în clienții pentru Windows, macOS, Linux și Android și a fost descoperită de firma de securitate Remedio. Detaliile tehnice care urmează provin din articolul SecurityWeek, care citează avizul TeamViewer și analiza Remedio.

Vulnerabilitatea

Conform avizului TeamViewer, exploatarea necesită ca un utilizator să deschidă o sesiune de control de la distanță către un host controlat de atacator sau compromis. Consecințele merg de la blocarea programului tehnicianului (viewer-ul) până la executarea de cod arbitrar pe sistemul său.

Mecanismul, așa cum îl descrie Remedio:

1. la deschiderea sesiunii, hostul comunică geometria ecranului său;
2. viewer-ul folosește aceste dimensiuni exact cum sosesc pentru a aloca în memorie bufferul de pixeli în care decomprimă actualizările ecranului: nu există o limită maximă pentru valorile primite din rețea;
3. această suprafață de decodare este folosită doar când sesiunea nu are la dispoziție un decodor video hardware, dar hostul poate refuza negocierea codecurilor video și poate forța viewer-ul să o folosească;
4. cu dimensiuni imposibile pentru un ecran real, de exemplu 32.768 × 32.768 pixeli la 32 de biți per pixel, calculul dimensiunii depășește 32 de biți: potrivit Remedio, fiecare rând după al treizeci și unulea este scris în afara limitelor bufferului.

Deoarece hostul controlează atât suprafața declarată, cât și actualizările care o umplu, poate face ca programul tehnicianului să se blocheze în mod repetat. Remedio subliniază că pentru asta este suficientă o sesiune obișnuită, folosind doar mesajele pe care protocolul le prevede deja.

De la blocare la executarea de cod

Remedio a mers dincolo de denial of service. Suprafața coruptă este un obiect încă în uz: mai târziu viewer-ul îl apelează printr-un pointer aflat în primul său câmp, iar suprascrierea acestui pointer deviază apelul. În demonstrație, cercetătorii au ocolit protecțiile existente și au direcționat apelul către funcția Windows WinExec, executând cod în viewer.

Potrivit Remedio, suprafața vulnerabilă este accesibilă în configurația implicită: este suficientă o sesiune acceptată, adică funcționarea normală a produsului.

În termeni MITRE ATT&CK, exploatarea se încadrează în T1203 (Exploitation for Client Execution); vulnerabilitățile locale corectate în aceeași rundă, descrise în continuare, în T1068 (Exploitation for Privilege Escalation).

Versiuni corectate și alte vulnerabilități

• CVE-2026-111585: corectată în versiunea 15.83 a clienților TeamViewer (Full Client, Host, Portable și Remote Control App pentru Android). TeamViewer a publicat actualizări de securitate și pentru mai multe versiuni legacy, pe care SecurityWeek nu le enumeră: verifică avizul producătorului pentru ramura pe care o folosești.
• CVE-2026-92372 (actualizările pentru macOS și Linux): scriere în afara limitelor în decodor, din cauza lipsei verificării limitelor de destinație. Se exploatează cu date de imagine a ecranului manipulate sau convingând utilizatorul să deschidă o înregistrare de sesiune TeamViewer (.tvs) pregătită special; necesită interacțiunea utilizatorului. Și în acest caz se poate ajunge la executarea de cod.
• CVE-2026-92374 (macOS): race condition TOCTOU cu gestionarea greșită a legăturilor simbolice; un atacator local cu privilegii reduse poate instala un pachet malițios și poate obține privilegii de root.
• Șase vulnerabilități de severitate ridicată de escaladare locală a privilegiilor în componentele suplimentare TeamViewer Remote Management; SecurityWeek nu indică identificatorii CVE. TeamViewer recomandă actualizarea atât a clienților, cât și a acestor componente.

TeamViewer declară că nu are cunoștință de exploatarea vreuneia dintre aceste vulnerabilități. Sursele nu raportează indicatori de compromitere.

Impactul pentru companiile europene și italiene

TeamViewer este foarte răspândit în help desk-urile interne, la furnizorii de servicii gestionate și în echipele de asistență tehnică ale producătorilor. Stația de lucru a tehnicianului este de regulă printre cele mai valoroase din rețea: de acolo ajungi la computerele colegilor și ale clienților, adesea cu credențiale și instrumente de administrare la îndemână. Această vulnerabilitate permite atacarea ei de la celălalt capăt al conexiunii: de pe un computer al unui client deja compromis sau de pe o mașină pregătită special, la care un tehnician este convins să se conecteze, de exemplu printr-o falsă cerere de asistență.

Pentru furnizorii de servicii gestionate este o problemă de lanț de aprovizionare, centrală pentru NIS2: o stație de asistență compromisă poate deveni punctul de plecare spre rețelele altor clienți. În sănătate, unde furnizorii externi oferă adesea asistență de la distanță pentru sisteme clinice și echipamente, merită aceeași atenție.

Ce să faci acum

1. Actualizează toți clienții TeamViewer la 15.83 sau la versiunea de securitate prevăzută pentru ramura ta legacy, începând cu stațiile echipei de suport tehnic: ele sunt expuse la CVE-2026-111585.
2. Caută copiile necontrolate: versiunile Portable nu trec prin sistemele obișnuite de distribuire a software-ului și rămân ușor în urmă.
3. Actualizează componentele Remote Management împreună cu clienții, așa cum recomandă TeamViewer.
4. Nu te baza pe decodarea hardware ca apărare: hostul poate refuza codecurile video și poate forța calea vulnerabilă.
5. Limitează sesiunile către hosturi necunoscute până la finalizarea actualizării: fără conexiuni către mașini din afara listei de clienți cunoscuți sau la cererea unor contacte neverificate.
6. Pe macOS și Linux, nu deschide înregistrări .tvs de proveniență incertă înainte de actualizare.
7. Detecție: urmărește blocările repetate ale TeamViewer pe stațiile tehnicienilor în timpul unei sesiuni și procesele copil neobișnuite pornite de programul TeamViewer.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe fiecare mașină și pe fiecare pachet: te ajută să găsești computerele cu o versiune TeamViewer încă neactualizată. ARX Sentry colectează loguri, evenimente de securitate și inventarul de software și procese al computerelor monitorizate și grupează execuțiile suspecte în paginile SOC.

Ultima actualizare: 30 octombrie 2026