CVE-2018-16550

Mechanizm ochrony przed wielokrotnymi błędnymi próbami uwierzytelnienia (brute-force protection) można ominąć poprzez pominięcie kroku anulowania ('Cancel') w procesie logowania. Dzięki temu atakujący może wielokrotnie próbować zgadnąć wartość domyślnego 4-cyfrowego PIN-u bez wyzwalania blokady. Przestrzeń możliwych kombinacji dla 4-cyfrowego PIN-u jest bardzo mała (10 000 wartości), co sprawia, że skuteczne odgadnięcie go metodą brute-force jest realistyczne w krótkim czasie.

Atakujący może uzyskać nieautoryzowany dostęp do sesji TeamViewer ofiary, co w praktyce oznacza pełną zdalną kontrolę nad jej urządzeniem, włącznie z możliwością przejęcia danych, instalacji złośliwego oprogramowania oraz lateral movement w sieci.

Należy zaktualizować TeamViewer do wersji nieobarczonej podatnością zgodnie z referencjami producenta. Dodatkowo zaleca się stosowanie silnych, niestandardowych haseł zamiast domyślnego 4-cyfrowego PIN-u oraz ograniczenie dostępu do usługi TeamViewer wyłącznie do zaufanych adresów IP na poziomie firewall.

TeamViewer w wersjach 10.x, 11.x, 12.x oraz 13.x

Podatność została publicznie ujawniona za pośrednictwem platformy Twitter przez konto @vah_13 w dniu 5 września 2018 r.