В AnyDesk для Linux нашли уязвимость с выполнением кода под root

CVE-2026-109390 в AnyDesk для Linux до версии 8.0.3 позволяет неаутентифицированному атакующему удалённо выполнить код через переполнение кучи в обработчике пакетов mode 5. Ошибка в 32-битной арифметике: длина 0xFFFFFFF0 плюс 16 байт заголовка даёт ноль, и буфер выделяется крошечным. CVSS 9.8, служба работает от root и слушает TCP 7070.

• CVSS 9.8: атака по сети без привилегий и действий пользователя
• Длина 0xFFFFFFF0 + 0x10 переполняется до нуля в 32-битной арифметике
• Исправлено в 8.0.3, но без CVE и предупреждения в чейнджлоге
• ZoomEye: 461 совпадение по app="AnyDesk" и 1750 по заголовку