Fanvil x7a: Unauthentifizierte Command Injection im Ping-Diagnosewerkzeug
Zusammenfassung
Das Ping-Diagnosewerkzeug des Management-Portals der Fanvil x7a Firmware 2.6.0.1182 validiert Benutzereingaben nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Betriebssystembefehle einschleusen und Code im zugrunde liegenden Android-Betriebssystem des Geräts ausführen. Der vom Hersteller gelistete CVSS-Wert beträgt 10.0 (Critical), und CISA SSVC stuft die Ausnutzung als PoC und automatisierbar ein.
Betroffen
- Fanvil x7a Firmware 2.6.0.1182
- Der verwandte Fanvil PA2S SIP-Gateway Firmware 2.12.44.9 wird im separaten CVE-Eintrag CVE-2025-70521 genannt, nicht in diesem Eintrag
Behoben in
Unbekannt. Es wurde keine Herstellerwarnung oder Firmware-Changelog gefunden, die einen korrigierten x7a-Build nennt.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Den Zugriff auf die Management-Weboberfläche auf ein vertrauenswürdiges Management-VLAN beschränken.
- Die Web- und Management-Ports des Geräts an der Firewall aus nicht vertrauenswürdigen Netzen blockieren.
Ausnutzung
- Ein öffentlicher Proof of Concept wird in einem Drittanbieter-Beitrag erwähnt (nicht verifiziert). CISA SSVC: Ausnutzung PoC, automatisierbar ja.
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob ein x7a-Gerät aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist, und diese Exposition sofort entfernen.
- Alle x7a-Geräte mit Firmware 2.6.0.1182 inventarisieren.
- Vom Hersteller bestätigte korrigierte Firmware bei Fanvil beziehen und einspielen; falls keine verfügbar ist, einen Ersatz planen.
- Das Gerät und sein Netzsegment auf unerwartete Verbindungen oder Befehle überwachen.
- Die verwandten CVEs für diese Firmware (CVE-2025-70515 bis 70522) als ein gemeinsames Sanierungsprojekt behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenCVE CVE record CVE-2025-70518 app.opencve.io
- Strix CVE page CVE-2025-70518 www.strix.ai
- Positive Technologies via Vulners PT-2026-107525 vulners.com
- DarkPoint Fanvil x7a & PA2S vulnerability disclosure www.darkpoint.ca
- Fanvil product page www.fanvil.com
- Fanvil firmware directory X7A download.fanvil.com
- Multi-CVE advisory summary cve.imfht.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.