Fanvil X7A-Firmware: Fehlende Authentifizierung im Websocket-Handler
Zusammenfassung
Der Websocket-Handler der Fanvil X7A-Firmware 2.6.0.1182 erzwingt keine Authentifizierung für Benutzer ohne Session. Ein Angreifer ohne Zugangsdaten kann Gerätressourcen wie Betriebsprotokolle einsehen und Diagnoseanfragen senden. Es ist keine Benutzerinteraktion nötig, und für den Angriff genügt Netzwerkzugriff auf die Weboberfläche des Geräts.
Betroffen
- Fanvil X7A-Firmware 2.6.0.1182
- Andere Firmware-Versionen: in den vorliegenden Daten nicht angegeben
Behoben in
Unbekannt. In den vorliegenden Quellen wird keine korrigierte Firmware-Version genannt.
Umgehung
- Die Web- oder Websocket-Schnittstelle des Geräts nicht aus dem Internet oder aus unvertrauten Netzwerken erreichbar machen.
- Den Zugriff mit Firewall-Regeln auf ein Management-VLAN beschränken.
- Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
Ausnutzung
- Nicht bekannterweise in freier Wildbahn ausgenutzt. Die CVE ist nicht im CISA-KEV-Katalog enthalten.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
- Der Darkpoint-Bericht enthält eine Proof-of-Concept-Websocket-Anfrage für den Zugriff auf Protokolle ohne Authentifizierung.
Unsere Empfehlung
- Alle Fanvil X7A-Geräte inventarisieren und die Firmware-Version prüfen.
- Prüfen, ob die Web- oder Websocket-Schnittstelle aus unvertrauten Netzwerken erreichbar ist, und diese Exposition entfernen.
- Fanvil oder den Wiederverkäufer nach einer korrigierten Firmware-Version und einer Sicherheitsmitteilung fragen.
- Gerätezugriffe überwachen und NVD sowie CISA KEV regelmässig erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record on OpenCVE app.opencve.io
- DarkPoint: Fanvil x7a & PA2S Vulnerability Disclosure www.darkpoint.ca
- Fanvil product page www.fanvil.com
- Fanvil X7A firmware release index download.fanvil.com
- CISA ADP Vulnrichment summary hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:20.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.