Fanvil x7a / PA2S: Fehlende Authentifizierung im Websocket-Handler
Zusammenfassung
Der Websocket-Handler der Fanvil-x7a-Firmware 2.6.0.1182 erzwingt keine Authentifizierung für Benutzer ohne Sitzung. Ein entfernter, nicht authentifizierter Angreifer kann Gerätressourcen wie Betriebsprotokolle einsehen und Diagnoseanfragen senden. Der CVE-Eintrag bewertet die Schwachstelle mit 9.8 (Kritisch), andere Quellen nennen jedoch abweichende Werte, weshalb die Bewertung auf NVD überprüft werden sollte.
Betroffen
- Fanvil-x7a-Firmware 2.6.0.1182 (bestätigt durch den CVE-Eintrag und die vom Hersteller verlinkten Recherchen)
- Fanvil-PA2S-SIP-Gateway-Firmware 2.12.44.9 (laut einer Drittquelle gemeldet, nicht gegen Hersteller oder NVD verifiziert)
Behoben in
Unbekannt.
Umgehung
- Das Gerät nicht dem Internet aussetzen.
- Den Zugriff auf die Web- und Websocket-Ports auf Management-VLANs oder vertrauenswürdige Hosts beschränken.
- Protokolle auf unerwartete Verbindungen prüfen.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept), automatisierbar: ja, technische Auswirkung: total.
- Nicht im CISA-KEV-Katalog aufgeführt; keine bestätigte Ausnutzung in der Praxis.
- Eine verwandte Command-Injection-Schwachstelle (CVE-2025-70521) in derselben Produktfamilie soll eine nicht authentifizierte Codeausführung erlauben.
Unsere Empfehlung
- Alle Fanvil-x7a- und PA2S-Geräte samt Firmware-Versionen inventarisieren.
- Den direkten Internetzugang dieser Geräte sofort unterbinden.
- Den Management-Zugriff auf vertrauenswürdige Netze beschränken.
- Bei Fanvil oder beim Distributor eine korrigierte Firmware mit Release Notes anfordern und anschliessend aktualisieren.
- Protokolle auf unbekannte Websocket-Verbindungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- DarkPoint: Fanvil x7a & PA2S Vulnerability Disclosure www.darkpoint.ca
- Fanvil PA2S firmware download directory download.fanvil.com
- Fanvil product page www.fanvil.com
- OpenCVE: CVE-2025-70520 app.opencve.io
- Strix: CVE-2025-70520 www.strix.ai
- Third-party advisory (imfht) cve.imfht.com
- Positive Technologies via Vulners: PT-2026-107527 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:51.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.