Fanvil x7a: Cross-Site Request Forgery in der Web-Verwaltungsoberfläche
Zusammenfassung
Der Request-Handler der Fanvil-x7a-Firmware 2.6.0.1182 erzwingt keinen Cross-Origin-Schutz für zustandsändernde Anfragen. Ein Angreifer kann die Cross-Origin-Grenze umgehen und Cross-Site Request Forgery-Angriffe auf beliebige Endpunkte der Web-Oberfläche des Geräts ausführen. Voraussetzung ist, dass ein angemeldeter Administrator eine vom Angreifer kontrollierte Webseite besucht.
Betroffen
- Fanvil x7a Firmware 2.6.0.1182 (gemäss CVE-Beschreibung)
- Andere Firmware-Builds: Unbekannt.
- Die CVE-Referenzen nennen zusätzlich PA2S-Firmware 2.12.44.9; dies ist durch Fanvil nicht bestätigt.
Behoben in
Unbekannt. Es wurde keine Sicherheitsmitteilung von Fanvil und keine bestätigte korrigierte Version gefunden. Neuere Firmware-Builds existieren (zum Beispiel X7A-2.6.12.220, 2026-02-28), doch ein Zusammenhang mit einer Behebung dieser CVE ist nicht bestätigt.
Umgehung
- Keine vom Hersteller bestätigte Workaround-Massnahme verfügbar.
- Die Web-Oberfläche des Geräts nicht aus dem Internet erreichbar machen und auf ein Management-VLAN oder VPN beschränken.
- Administratoren verpflichten, sich nach der Nutzung abzumelden, und für die Geräteverwaltung ein dediziertes Browserprofil verwenden.
Ausnutzung
- Im CVE-Eintrag ist ein öffentlicher Proof of Concept aufgeführt (CISA SSVC: Exploitation poc). Dieser wurde nicht verifiziert.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die CVE ist nicht im CISA KEV-Katalog aufgeführt.
- Automatisierbar: nein. Eine Benutzerinteraktion ist erforderlich (CVSS UI:R).
Unsere Empfehlung
- Prüfen, ob die Web-Oberfläche des x7a aus dem Internet erreichbar ist, und den Zugriff gegebenenfalls einschränken.
- Die Versionshinweise auf der Fanvil-Download-Seite prüfen und auf eine Firmware-Version aktualisieren, die Fanvil als Behebung dieses Problems bestätigt.
- Das Gerät auf unerwartete Konfigurationsänderungen überwachen.
- Administratoren darauf hinweisen, während der Anmeldung an Geräte-Verwaltungsoberflächen keine anderen Webseiten zu besuchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fanvil x7a & PA2S Vulnerability Disclosure (DarkPoint) www.darkpoint.ca
- Fanvil PA2S firmware directory download.fanvil.com
- OpenCVE: CVE-2025-70522 app.opencve.io
- Fanvil x7a download page fanvil.com
- Strix: CVE-2025-70522 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:23.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.