El soporte técnico acudió a ayudar, pero terminó bajo ataque: detectan una inusual vulnerabilidad en TeamViewer

Un equipo conectado al soporte técnico para reparación puede convertirse en la fuente de un ataque contra el especialista. En TeamViewer se encontró una vulnerabilidad que permite a un host remoto malicioso provocar la caída del programa en el equipo del operador y, en determinadas condiciones, ejecutar código arbitrario. El fallo recibió el número CVE-2026-111585 y una puntuación de 8,8 según CVSS 3.1.

La vulnerabilidad fue descubierta por Omri Dar de Remedio. Para el ataque no es necesario robar la contraseña ni obtener la cuenta del operador; sin embargo, el especialista debe primero iniciar una sesión con un equipo controlado por el atacante o ya comprometido. Tras la conexión, el host malicioso envía una imagen de pantalla especialmente preparada que procesa la aplicación del soporte técnico.

Al abrir la sesión, TeamViewer recibe del equipo remoto el ancho, la altura y la profundidad de color de la imagen. Según los parámetros enviados, el programa reserva memoria para los píxeles. El host malicioso puede prescindir de los códecs de vídeo H.264 y AV1, obligando al cliente a procesar fotogramas rasterizados. En esa configuración, los valores indicados por el host entran en el cálculo vulnerable del tamaño del búfer.

El error surge por una multiplicación de 32 bits al asignar memoria. Si se define una pantalla de 32 768 por 32 768 píxeles con profundidad de color de 32 bits, se necesitarían aproximadamente 4,3 GB, pero el desbordamiento aritmético reduce la zona asignada a alrededor de 4 MB. El decodificador compara las coordenadas con el tamaño de pantalla declarado, no con el volumen real de memoria, por lo que escribe datos fuera del límite del búfer.

Remedio confirmó que un fotograma especialmente formado puede cerrar de forma estable TeamViewer en Windows. En una demostración de laboratorio se consiguió eludir DEP y Control Flow Guard y ejecutar un programa mediante WinExec. Para preparar la memoria se utilizó la suplantación de datos en el lado del host. El escenario completo de ejecución de código a través del intercambio de red normal no se demuestra en la publicación.

El ataque es especialmente peligroso para el personal de soporte que se conecta regularmente a equipos ajenos. En caso de explotación exitosa, el código se ejecuta con los permisos del proceso TeamViewer, pero no necesariamente con privilegios de administrador. Un error similar se encontró recientemente en AnyDesk para Linux. Allí, un cálculo incorrecto de 32 bits del tamaño del búfer también permitía ejecutar comandos a través del acceso remoto.

La vulnerabilidad afectó a TeamViewer Full Client para Windows, Linux y macOS, a la versión portátil para Windows y a Remote Control para Android hasta la versión 15.83. En 2017, otro error de TeamViewer ya permitía a un participante de la conexión cambiar la dirección del control sin el permiso de la contraparte. El problema actual difiere por el mecanismo y no requiere activar el control inverso.

Omri Dar informó del hallazgo a TeamViewer el 14 de agosto, y el 22 de octubre el desarrollador confirmó la evaluación de riesgo. La empresa investigadora Remedio publicó los detalles técnicos el 29 de octubre. TeamViewer lanzó la corrección el 27 de octubre en la versión 15.83, así como parches para ramas antiguas. La empresa recomienda actualizarse y por ahora no dispone de información sobre ataques reales.