CVE-2019-18988 in TeamViewer
Tóm tắt
Bởi VulDB • 20/06/2026
TeamViewer Desktop phiên bản 14.7.1965 trở xuống cho phép bỏ qua kiểm soát truy cập đăng nhập từ xa do cùng một khóa được sử dụng cho các cài đặt của nhiều khách hàng khác nhau. Sản phẩm này đã sử dụng một khóa AES dùng chung cho tất cả các cài đặt kể từ ít nhất phiên bản v7.0.43148, và tiếp tục sử dụng khóa này cho OptionsPasswordAES trong phiên bản hiện tại của sản phẩm. Nếu kẻ tấn công biết được khóa này, chúng có thể giải mã thông tin bảo vệ được lưu trữ trong registry hoặc các tệp cấu hình của TeamViewer. Với các phiên bản trước v9.x, điều này cho phép kẻ tấn công giải mã mật khẩu truy cập không giám sát (Unattended Access) của hệ thống (cho phép đăng nhập từ xa vào hệ thống cũng như duyệt tệp không có giao diện đồ họa). Phiên bản mới nhất vẫn sử dụng cùng một khóa cho OptionPasswordAES nhưng dường như đã thay đổi cách lưu trữ mật khẩu truy cập không giám sát. Trong hầu hết các trường hợp, kẻ tấn công cần có một phiên làm việc hiện có trên hệ thống; tuy nhiên, nếu các khóa trong registry/cấu hình được lưu trữ bên ngoài máy (chẳng hạn như trong một chia sẻ tệp hoặc trực tuyến), kẻ tấn công sau đó có thể giải mã mật khẩu cần thiết để đăng nhập vào hệ thống.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.