TeamViewer-এ উচ্চ ঝুঁকির ত্রুটি: যে কম্পিউটারে যুক্ত হবেন, সেখান থেকেই আক্রমণের আশঙ্কা

রিমোট সাপোর্টে সাধারণত ধরে নেওয়া হয়, ঝুঁকি থাকে যে কম্পিউটারটি নিয়ন্ত্রণ করা হচ্ছে সেটির। কিন্তু জনপ্রিয় রিমোট অ্যাক্সেস সফটওয়্যার TeamViewer-এ এমন একটি ত্রুটি পাওয়া গেছে, যেখানে উল্টো ঘটনা ঘটতে পারে। যে কম্পিউটারে কেউ রিমোট সেশনে যুক্ত হচ্ছেন, সেটিই ক্ষতিকর হলে সংযোগকারী ব্যবহারকারীর কম্পিউটারে আক্রমণ চালাতে পারে। ২৭ অক্টোবর ২০২৬ প্রকাশিত সিকিউরিটি বুলেটিনে TeamViewer জানিয়েছে, ১৫.৮৩ সংস্করণে ত্রুটিটি ঠিক করা হয়েছে।

ত্রুটিটির শনাক্তকারী নম্বর CVE-2026-111585। TeamViewer-এর বুলেটিন TV-2026-1011 এবং CVE রেকর্ড অনুযায়ী, এর CVSS স্কোর ৮.৮, যা ‘High’ বা উচ্চ ঝুঁকির শ্রেণিতে পড়ে।

ত্রুটিটি কোথায়

TeamViewer সেশনে যে কম্পিউটার থেকে সংযোগ করে নিয়ন্ত্রণ নেওয়া হয়, সেটিকে বলা হয় Viewer; আর যে কম্পিউটার নিয়ন্ত্রণ করা হয়, সেটি Host। সেশন শুরুর সময় Host তার স্ক্রিনের মাপ (প্রস্থ, উচ্চতা ও কালার ডেপথ) Viewer-কে জানায়। সেই হিসাবে Viewer স্ক্রিনের ছবি রাখার জন্য মেমোরি বরাদ্দ করে।

নিরাপত্তা প্রতিষ্ঠান Remedio-র গবেষক ওমরি দার ২৯ অক্টোবর প্রকাশিত বিশ্লেষণে জানান, এই হিসাবটি ৩২-বিটে করা হওয়ায় Integer Overflow ঘটতে পারে। ফলে প্রয়োজনের চেয়ে কম মেমোরি বরাদ্দ হয় এবং পরে আসা স্ক্রিন ডেটা বরাদ্দ করা জায়গার বাইরে লেখা হয়, যা Heap-based Buffer Overflow। তাঁর ভাষায়, এই বাগে “the attacker is the host and the victim is the viewer.”

TeamViewer-এর বর্ণনা অনুযায়ী, ক্ষতিকর বা হ্যাক হওয়া কোনো Host এই ত্রুটি কাজে লাগিয়ে Viewer-এর TeamViewer ক্র্যাশ করাতে পারে এবং প্ল্যাটফর্মভেদে Viewer প্রসেসের অনুমতি নিয়ে ক্ষতিকর কোড চালানোর আশঙ্কাও রয়েছে। তবে এ জন্য ব্যবহারকারীকে নিজে আক্রমণকারীর নিয়ন্ত্রিত বা হ্যাক হওয়া Host-এর সঙ্গে রিমোট কন্ট্রোল সেশন শুরু করতে হবে।

গবেষকের দাবি ও সীমাবদ্ধতা

Remedio জানিয়েছে, ডিফল্ট কনফিগারেশনেই ত্রুটিটি কাজে লাগানো যায়; কোনো পাসওয়ার্ড বা সেশন গ্রহণের বাইরে আলাদা কোনো ক্লিকের প্রয়োজন হয় না। Windows-এ তারা Control Flow Guard ও DEP-এর মতো সুরক্ষা ব্যবস্থা পাশ কাটিয়ে Viewer-এ নিজেদের পছন্দের প্রোগ্রাম চালাতে সক্ষম হয়েছে বলে দাবি করেছে।

তবে গবেষকেরা নিজেরাই উল্লেখ করেছেন, ডেমোতে কিছু ক্ষতিকর ডেটা Host-এর দিকে একটি Hook-এর মাধ্যমে বসানো হয়েছিল, যা নেটওয়ার্কে পাঠানো ডেটার বিকল্প হিসেবে কাজ করেছে। অর্থাৎ পুরোপুরি নেটওয়ার্কের মাধ্যমে আক্রমণ এখনো দেখানো হয়নি। কোড চালানোর ফলটিও কেবল Windows-এ দেখানো হয়েছে; macOS, Linux বা Android-এ একই ফল মেলে কি না, তা বিশ্লেষণে বলা হয়নি।

TeamViewer জানিয়েছে, বুলেটিন প্রকাশের সময় ত্রুটিগুলো ব্যবহার করে কোনো সক্রিয় আক্রমণের তথ্য তাদের কাছে নেই। Remedio-ও কোনো আক্রমণের খবর দেয়নি এবং এক্সপ্লয়েট কোড প্রকাশ করেনি।

কোন কোন সংস্করণ ঝুঁকিতে

CVE রেকর্ড অনুযায়ী, ১৫.৮৩-এর আগের সব সংস্করণের Windows, Linux ও macOS-এর TeamViewer Full Client, Windows-এর Portable সংস্করণ এবং Android-এর Remote Control অ্যাপ এতে আক্রান্ত। পুরোনো লিগ্যাসি শাখাগুলোর জন্যও আলাদা সংশোধিত বিল্ড দেওয়া হয়েছে; যেমন Windows 7 ও 8-এর জন্য ১৫.৬৪.১০ এবং ১৪.৭ শাখার জন্য ১৪.৭.৪৮৮৬৮।

একই বুলেটিনে আরও দুটি উচ্চ ঝুঁকির ত্রুটি ঠিক করা হয়েছে। এর একটি (CVE-2026-92372, CVSS ৮.৮) Linux ও macOS-এর Full Client-এ স্ক্রিন-ইমেজ ডিকোডারের Out-of-bounds Write, যা রিমোট সেশনে বা বিশেষভাবে তৈরি সেশন রেকর্ডিং (.tvs) ফাইল খোলার মাধ্যমে কোড চালাতে ব্যবহার হতে পারে। অন্যটি (CVE-2026-92374, CVSS ৭.৮) macOS-এর Full Client ও Host-এ স্থানীয় পর্যায়ে Root Privilege পাওয়ার ঝুঁকি। এই দুটি Host-কেও প্রভাবিত করে।

ব্যবহারকারীদের করণীয়

TeamViewer কোনো বিকল্প সমাধান (Workaround) দেয়নি; একমাত্র সমাধান হিসেবে দ্রুত ১৫.৮৩ বা সর্বশেষ সংস্করণে আপডেট করার পরামর্শ দিয়েছে। আইটি সাপোর্ট, হেল্পডেস্ক বা ফ্রিল্যান্স কাজে যাঁরা নিয়মিত অন্যের কম্পিউটারে TeamViewer দিয়ে যুক্ত হন, তাঁদের জন্য আপডেটটি বিশেষভাবে গুরুত্বপূর্ণ। Host হিসেবে TeamViewer চালানো কম্পিউটারও একই আপডেটে হালনাগাদ করা উচিত, কারণ বুলেটিনের অন্য ত্রুটিগুলো Host-কেও প্রভাবিত করে।

Remedio-র প্রকাশিত সময়রেখা অনুযায়ী, তারা ১৪ আগস্ট ২০২৬ TeamViewer-কে ত্রুটিটি জানায়। ২৭ অক্টোবর ১৫.৮৩ সংস্করণে সংশোধনী প্রকাশ করা হয়।