Betroffen sind laut TeamViewer der Full Client unter Windows, Linux und macOS, die portable Windows-Ausgabe sowie die Android-App Remote Control – jeweils in allen Versionen vor 15.83. Der Host wird im Sicherheitshinweis zu dieser Lücke nicht aufgeführt; dasselbe Update behebt jedoch zwei weitere Schwachstellen desselben Hinweises, die den Host sehr wohl betreffen, weshalb auch dessen Nutzer aktualisieren sollten.
Omri Dar, Forscher beim Sicherheitsunternehmen Remedio, veröffentlichte am 29. Oktober eine technische Beschreibung. „Der Angreifer ist der Host und das Opfer ist der Viewer", schrieb er. Technisch teilt der Host dem Viewer mit, wie groß sein Bildschirminhalt ist. Der Viewer reserviert anhand dieser Angabe Speicher, doch die Berechnung kann überlaufen und zu wenig Speicher bereitstellen. Nachfolgend eintreffende Bilddaten werden dann über das Ende des Bereichs hinaus geschrieben.
Im Minimalfall stürzt die TeamViewer-Sitzung des Viewers ab, und der Host kann diesen Absturz beliebig oft erneut auslösen. Unter Windows ging Remedio nach eigenen Angaben weiter: Die eingebauten Exploit-Schutzmechanismen des Betriebssystems wurden umgangen und selbst gewählter Code im Viewer ausgeführt. Für die Demonstration lieferte allerdings ein Hilfsprogramm auf dem Host einen Teil der Angriffsdaten, es handelt sich also noch nicht um einen vollständig über das Netzwerk durchgeführten Angriff. Gezeigt wurde das Ergebnis ausschließlich unter Windows; ob dasselbe unter macOS, Linux oder Android funktioniert, behandelt die Veröffentlichung nicht. TeamViewer spricht lediglich davon, dass Codeausführung je nach Plattform möglich sei.
Nach Darstellung von Dar wird für den Angriff weder ein Passwort noch ein zusätzlicher Klick über das Annehmen der Sitzung hinaus benötigt; er funktioniert in der Standardkonfiguration von TeamViewer. Voraussetzung ist allein, dass der Nutzer selbst eine Fernsteuerungssitzung zu dem betreffenden Host aufbaut. Auch Version 15.82, das im September veröffentlichte Sicherheitsupdate, enthält die Lücke noch – wer damals aktualisiert hat, ist weiterhin angreifbar.
Einen Workaround nennt TeamViewer nicht; als einzige Abhilfe bleibt das Update auf 15.83 oder neuer. Für ältere, weiterhin unterstützte Zweige stellt der Hersteller entsprechend korrigierte Builds bereit.
Das Update 15.83 behebt zudem zwei weitere Schwachstellen hoher Schwere aus demselben Sicherheitshinweis, darunter eine separate Lücke zur Codeausführung unter Linux und macOS. Ein am selben Tag veröffentlichter Hinweis mit der Kennung TV-2026-1012 beseitigt sechs weitere Schwachstellen in den Remote-Management-Erweiterungen von TeamViewer, die per automatischem Update verteilt werden.
TeamViewer erklärte, zum Zeitpunkt der Veröffentlichung des Fixes keine Kenntnis von Angriffen auf die Schwachstelle gehabt zu haben. In der KEV-Liste der US-Behörde CISA ist die Lücke mit Stand vom 29. Oktober nicht verzeichnet. Auch Remedio berichtet von keinen Angriffen in freier Wildbahn und hat keinen Exploit-Code veröffentlicht.