Pesquisador demonstra execução remota de código no TeamViewer para Windows
O pesquisador Omri Dar demonstrou execução remota de código no cliente TeamViewer para Windows: um host malicioso explora um estouro de inteiro no cálculo do buffer de vídeo e escreve fora dos limites da memória. Basta a vítima conectar o visualizador ao host do atacante; depois disso, nenhuma interação adicional é necessária, e a demonstração funcionou com as proteções nativas habilitadas. A fonte não menciona correção; oriente os usuários a não conectar a hosts desconhecidos.
O que aconteceu
Um pesquisador demonstrou uma falha no cliente TeamViewer para Windows que permite a um host malicioso executar código no computador da vítima durante uma sessão de controle remoto. A vítima só precisa conectar o visualizador ao host do atacante; não há roubo de senha nem interação adicional. O pesquisador executou um programa de sua escolha no cliente vulnerável, com as proteções nativas habilitadas.
Por que importa
Qualquer funcionário que conecte o TeamViewer a um host controlado por atacante pode ter código executado em sua estação de trabalho, mesmo com as proteções nativas do produto habilitadas. Isso abre caminho para roubo de dados e comprometimento da máquina. A fonte não relata correção disponível.
O que fazer
Orientar os usuários a nunca conectar o TeamViewer a hosts desconhecidos ou não verificados. Monitorar as sessões TeamViewer em busca de destinos incomuns e aplicar a correção do fornecedor assim que existir.
Para o time técnico
- Afetados
- Cliente TeamViewer para Windows · Cliente TeamViewer para Windows; a fonte não cita versões.
- Exploração
- Demonstração por pesquisador: Omri Dar, da Remedio, conforme o relato do dbugs, obteve execução de um programa escolhido no cliente Windows vulnerável, com as proteções nativas habilitadas. A fonte não relata exploração na natureza.
- Correção
- A fonte não menciona versão corrigida, patch ou mitigação.
- Vetor
- Cliente TeamViewer para Windows, na sessão de controle remoto iniciada pela vítima contra o host do atacante. Ao estabelecer a sessão, o host envia a mensagem DisplayParams (largura, altura e profundidade de cor) usada para criar o CBitmapBuffer; o host malicioso recusa a negociação dos codecs AV1/H.264, força decodificação bitmap e seleciona o codec lossless de tiles. A falha é um estouro de inteiro: 'stride × (height + 0x10)' é calculado em aritmética de 32 bits e só depois ampliado para 64 bits em 'operator new[]'; para superfície de 32768 × 32768 pixels a 32 bpp, aloca cerca de 4 MB em vez de mais de 4 GB. O decodificador RLE valida o retângulo contra a largura e altura declaradas, mas não contra a memória alocada; o update '(0, 0, 32768, 32768)' passa na validação e causa escrita fora dos limites. Condição: a vítima conecta o visualizador ao host do atacante; nenhuma interação adicional.
- Mais detalhes
- Com 'Width = 0xFFFFFFF5', 'Height = 1' e 'BPP = 8', a alocação cai para cerca de 0x440 bytes e o buffer fica em classe de heap pequena, junto a objetos que o atacante pode alocar seletivamente (heap grooming). Com o overflow, os pesquisadores sobrescreveram um ponteiro em um objeto vivo, contornaram Control Flow Guard e DEP, redirecionaram a execução para WinExec e executaram o código do atacante. Nenhum CVE ou data é citado na fonte.
Linha do tempo
Primeiro relato: pesquisador demonstra RCE via buffer overflow no cliente TeamViewer para Windows.
Fontes 1 fonte
- @ptdbugs @ptdbugs
