Soporte técnico acudió a ayudar y terminó bajo ataque: descubren una vulnerabilidad inusual en TeamViewer

Un equipo conectado al soporte técnico para reparación puede convertirse en la fuente de un ataque contra el especialista. En TeamViewer se detectó una vulnerabilidad que permite que un host remoto malicioso provoque la caída del programa en el equipo del operador y, en ciertas condiciones, ejecute código arbitrario. El error recibió el número CVE-2026-111585 y una puntuación de 8,8 según CVSS 3.1.

Esta vulnerabilidad fue descubierta por Omri Dar de Remedio. Para el ataque no es necesario robar la contraseña ni obtener la cuenta del operador; sin embargo, el especialista debe primero iniciar una sesión con un equipo controlado por el atacante o ya comprometido. Tras la conexión, el host malicioso envía una imagen de pantalla especialmente elaborada que procesa la aplicación en el lado del soporte.

Al abrir la sesión, TeamViewer recibe del equipo remoto el ancho, la altura y la profundidad de color de la imagen. Según los parámetros enviados, el programa reserva memoria para los píxeles. El host malicioso puede rechazar los códecs de vídeo H.264 y AV1, obligando al cliente a procesar fotogramas rasterizados. En esa configuración, los valores indicados por el host entran en el cálculo vulnerable del tamaño del búfer.

El error se produce debido a una multiplicación de 32 bits al asignar memoria. Si se especifica una pantalla de 32 768 por 32 768 píxeles con una profundidad de color de 32 bits, se necesitarían unos 4,3 GB, pero el desbordamiento aritmético reduce la región asignada aproximadamente a 4 MB. El decodificador comprueba las coordenadas con el tamaño declarado de la pantalla, no con el volumen real de memoria, por lo que escribe datos fuera de los límites del búfer.

Remedio confirmó que un fotograma especialmente formado puede provocar el cierre estable de TeamViewer en Windows. En una demostración de laboratorio se logró eludir DEP y Control Flow Guard y ejecutar un programa mediante WinExec. Para preparar la memoria se usó la sustitución de datos en el lado del host. El escenario completo para ejecutar código mediante un intercambio de red normal no se mostró en la publicación.

El ataque es especialmente peligroso para el personal de soporte que se conecta regularmente a ordenadores ajenos. En caso de explotación exitosa, el código se ejecuta con los permisos del proceso de TeamViewer, aunque no necesariamente con privilegios de administrador. Un error similar se encontró recientemente en AnyDesk para Linux. Allí, el cálculo incorrecto de 32 bits del tamaño del búfer también permitía ejecutar comandos mediante acceso remoto.

La vulnerabilidad afectó a TeamViewer Full Client para Windows, Linux y macOS, la versión portátil para Windows y Remote Control para Android hasta la versión 15.83. En 2017, otro error de TeamViewer ya permitía a un participante de la conexión cambiar la dirección del control sin el permiso del socio. El problema actual difiere en el mecanismo y no requiere activar el control inverso.

Omri Dar informó del hallazgo a TeamViewer el 14 de agosto, y el 22 de octubre el desarrollador confirmó la evaluación de la gravedad. La empresa investigadora Remedio divulgó los detalles técnicos el 29 de octubre. TeamViewer publicó la corrección el 27 de octubre en la versión 15.83, así como parches para ramas antiguas. La empresa aconseja actualizarse y por ahora no dispone de información sobre ataques reales.