Anviz Products Missing Authentication for Critical Function

A exploração bem-sucedida desta vulnerabilidade permite que um atacante modifique as configurações de debug do Anviz CX7 sem a necessidade de autenticação. Isso pode incluir a ativação de SSH, o que abriria uma porta de acesso remoto ao dispositivo. Com acesso SSH, o atacante poderia executar comandos arbitrários, exfiltrar dados confidenciais, instalar malware ou até mesmo assumir o controle total do dispositivo. A amplitude do impacto depende da sensibilidade dos dados armazenados no dispositivo e do seu papel na infraestrutura de segurança.

Organizations deploying Anviz CX7 devices in environments with limited network segmentation are at increased risk. Shared hosting environments where multiple CX7 devices reside on the same network are particularly vulnerable, as an attacker could potentially pivot from one device to another. Legacy deployments with outdated firmware configurations are also at higher risk.

• linux / server:

journalctl -u anviz-cx7 | grep -i "debug settings"

• linux / server:

lsof -i :8080 | grep anviz

• generic web: Use curl to test the /debug endpoint for authentication requirements:

curl -X POST http://<CX7_IP>/debug -d "setting=value"

• generic web: Check access logs for POST requests to /debug or similar endpoints from unexpected IP addresses.

1. 2026-04-17Disclosure

   disclosure

1. Reservado2026-04-14
2. Publicada2026-04-17
3. EPSS atualizado2026-04-25

Como a correção oficial ainda não foi lançada, a mitigação imediata envolve a restrição do acesso à interface de administração do Anviz CX7. Implemente regras de firewall para bloquear requisições POST para os endpoints de configuração de debug. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de modificação de configurações. Considere a implementação de um sistema de detecção de intrusão (IDS) para identificar e bloquear ataques. Após a disponibilização da atualização, aplique-a imediatamente e verifique se a vulnerabilidade foi corrigida.