Une faille de TeamViewer permet aux hôtes contrôlés d'attaquer les machines des visionneuses

TeamViewer a publié une mise à jour de sécurité critique pour corriger une vulnérabilité qui inverse le modèle de confiance habituel des sessions de bureau à distance. Découverte par Omri Dar, chercheur chez Remedio, cette faille permet à une machine contrôlée d'attaquer l'ordinateur initiant la connexion. Le correctif est disponible dans la version 15.83, publiée fin octobre 2026.

Ce qu'il s'est passé

Dans une session TeamViewer standard, l'utilisateur qui se connecte pour contrôler une autre machine est appelé la « visionneuse » (viewer), tandis que la machine contrôlée est l'« hôte ». Cette nouvelle vulnérabilité, identifiée sous la référence CVE-2026-111585, permet à un hôte malveillant ou compromis d'exploiter le logiciel de la visionneuse. La faille présente un score de gravité de 8,8 sur 10, la classant dans la catégorie à haut risque. Elle affecte le client complet TeamViewer sur Windows, Linux et macOS, ainsi que l'édition portable pour Windows et l'application Android Remote Control. Toute version antérieure à la 15.83 est vulnérable.

Le problème a été détaillé dans un rapport technique publié le 29 octobre par Omri Dar. Il a noté que l'attaque ne nécessite aucun mot de passe et aucun clic supplémentaire au-delà de l'acceptation de la session distante par l'utilisateur. Elle fonctionne dans la configuration par défaut du logiciel. Fait notable, cette vulnérabilité persistait malgré la mise à jour de sécurité précédente, la version 15.82, publiée en septembre 2026. Les utilisateurs ayant effectué la mise à jour le mois dernier restent exposés s'ils n'installent pas la build plus récente 15.83.

Bien que l'impact principal soit une condition de déni de service où l'application de la visionneuse plante, un risque d'exécution de code à distance existe. Sur Windows, les chercheurs ont démontré que la faille pouvait contourner les défenses du système d'exploitation pour exécuter du code arbitraire sur la machine de la visionneuse. TeamViewer indique que l'exécution de code est possible selon la plateforme, bien que la démonstration publique ait été limitée à Windows. Il n'y a actuellement aucun rapport d'exploitation active dans la nature, et la vulnérabilité ne figure pas encore dans le catalogue des vulnérabilités connues exploitées (KEV) de la CISA.

Comment cela fonctionne

La vulnérabilité provient d'une erreur de calcul de mémoire lors de l'initialisation d'une session distante. Lorsqu'une visionneuse se connecte à un hôte, ce dernier envoie des métadonnées décrivant la taille de son image d'écran. Le logiciel de la visionneuse utilise ces informations pour allouer un bloc de mémoire spécifique destiné à stocker les données visuelles entrantes. Cependant, le calcul utilisé pour déterminer la taille de mémoire requise peut provoquer un débordement. Cela amène la visionneuse à réserver un tampon plus petit que nécessaire.

Lorsque l'hôte envoie ensuite les données réelles de l'écran, ces informations dépassent l'espace du tampon alloué. Il en résulte un débordement de tampon de tas (heap buffer overflow), où des données sont écrites au-delà de la fin de la région mémoire réservée. Au minimum, cela corrompt l'état de l'application et fait planter le client TeamViewer côté visionneuse. Un attaquant qualifié peut manipuler ce débordement pour écraser les structures mémoire adjacentes. Sur Windows, cette technique a été utilisée avec succès pour détourner le flux d'exécution et lancer du code personnalisé, prenant effectivement le contrôle du système de la visionneuse depuis le côté hôte.

Détails clés

• ID de la vulnérabilité : CVE-2026-111585 avec un score CVSS de 8,8.
• Versions affectées : Toutes les versions du client complet TeamViewer, de l'édition portable et de l'application Android Remote Control antérieures à la 15.83.
• Vecteur d'attaque : L'hôte exploite la visionneuse après l'acceptation d'une session distante ; aucun mot de passe n'est requis.
• Impact : Déni de service (plantage) sur toutes les plateformes ; exécution de code à distance démontrée sur Windows.
• Correctif : Mettre à jour vers TeamViewer version 15.83 ou ultérieure.
• Statut : Aucune exploitation active connue dans la nature au 29 octobre 2026.

Pourquoi c'est important

Cette faille est significative car elle inverse la frontière de sécurité attendue des outils d'accès à distance. Habituellement, les utilisateurs craignent que des parties non autorisées se connectent à leur machine en tant qu'hôtes. Ici, le risque provient de la connexion à un hôte potentiellement non fiable ou compromis. Pour les équipes informatiques et le personnel de support qui se connectent régulièrement aux appareils des utilisateurs ou aux serveurs tiers, cela crée un risque similaire à celui de la chaîne d'approvisionnement, où l'environnement cible peut armer l'outil de gestion contre l'administrateur.

Pour les ingénieurs logiciels et les responsables de la sécurité, cela met en évidence les dangers de faire confiance aux métadonnées provenant de points de terminaison distants sans validation rigoureuse. Le fait que le calcul ait débordé suggère que les vérifications de sécurité des entiers étaient insuffisantes pour les valeurs de taille d'écran grandes ou malformées. Cela démontre également que même avec les protections modernes du système d'exploitation comme ASLR et DEP, les bugs de corruption de mémoire peuvent toujours conduire à une exécution complète de code si le débordement est suffisamment précis. L'absence de solution de contournement signifie que la mise à jour est la seule atténuation possible, imposant une perturbation opérationnelle immédiate pour les mises à jour.

Ce que vous pouvez faire

• Mettez à jour toutes les installations de TeamViewer vers la version 15.83 ou ultérieure immédiatement.
• Vérifiez que la mise à jour a été correctement appliquée en consultant le numéro de version dans le menu Aide > À propos.
• Appliquez la mise à jour compagnon TV-2026-1012 pour les modules complémentaires de gestion à distance, qui corrige six autres failles.
• Examinez les journaux pour détecter tout plantage inattendu des clients TeamViewer pouvant indiquer des tentatives d'exploitation antérieures.
• Restreignez les permissions d'accès à distance aux seuls hôtes fiables jusqu'à ce que le déploiement du correctif soit terminé dans toute votre organisation.
• Surveillez les canaux officiels de TeamViewer pour toute nouvelle recommandation concernant l'exécution de code sur macOS, Linux ou Android.