통신사와 클라우드 전화 사업자가 쓰는 통화 서비스 플랫폼인 Cisco BroadWorks의 프로비저닝 인터페이스에서 설정 정보를 읽을 수 있는 취약점의 해설입니다. 영향 범위와 수정을 방어하는 쪽의 관점에서 다루며, 공격 방법은 적지 않습니다.
- CVE
- CVE-2026-20320 (Cisco 권고 cisco-sa-bworks-xxe-uwUd7CEt)
- 심각도
- CVSS v3.1 7.5 (High. 벡터 AV:N/AC:L/PR:N/UI:N, 기밀성만. Cisco가 부여)
- 유형
- XML 외부 엔터티 참조의 부적절한 제한(CWE-611). 인증 없이 설정 정보를 읽을 수 있음
- 영향 대상
- BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform, RI.2026.07 이전
- 수정
- RI.2026.07. 회피책 없음
- 공개
- Cisco 권고: 2026년 8월 19일(최초 버전뿐)
- 악용
- 2026년 11월 10일 CISA KEV에 추가(기한 11월 24일). Cisco 권고는 악의적 사용을 인지하지 못했다고 함
어떤 취약점인가
Cisco 권고에 따르면 OCI XML 파서는 기본적으로 외부 엔터티 해석을 허용하므로, 조작된 XML을 OCI-P 서비스로 보내는 인증 없는 원격 공격자가 BroadWorks 사용자의 권한으로 파일 시스템의 민감한 파일을 읽을 수 있습니다. CVSS 벡터에서 높은 것은 기밀성뿐이며 무결성과 가용성은 영향이 없습니다. 권고는 데이터 형식을 설명하지 않으며 본 사이트도 설명하지 않습니다.
영향 범위
| 제품 | 영향받는 버전 | 수정 |
|---|---|---|
| BroadWorks Application Delivery Platform | RI.2026.07 이전(Open Client Server [OCS]와 OCIOverSoap 구성 요소) | RI.2026.07 |
| BroadWorks Application Server | RI.2026.07 이전 | RI.2026.07 |
| BroadWorks Profile Server | RI.2026.07 이전 | RI.2026.07 |
| BroadWorks Xtended Services Platform | RI.2026.07 이전 | RI.2026.07 |
- 네 가지 모두 장치 구성과 관계없이 영향을 받습니다. 목록에 없는 제품은 영향이 확인되지 않았습니다.
- 회피책은 없습니다. Cisco는 완전히 해결하려면 업그레이드하라고 권고합니다.
- 리셀러나 관리형 서비스를 통해 BroadWorks를 쓰고 있다면 같은 버전을 기준으로 판단하고, 사업자의 안내를 확인하세요.
오늘 해야 할 일(운영자용)
BroadWorks 구성 요소와 버전 정리
운영, 테스트, 재해 복구 환경별로 Application Delivery Platform, Application Server, Profile Server, Xtended Services Platform의 수를 파악하고 각각 RI.2026.07 이전인지 확인하세요(자산 목록 체크리스트).
RI.2026.07로 업데이트
Cisco의 절차를 따르세요. KEV 기한은 11월 24일입니다. 중단할 수 없는 환경은 기한에서 거꾸로 계산해, 이중화된 한쪽씩 순차적으로 올리는 롤링 업데이트를 계획하세요.
업데이트할 때까지 OCI-P에 닿을 수 있는 범위 제한
Cisco는 회피책을 제시하지 않습니다. 본 사이트가 독자적으로 덧붙이는 조언으로, OCI-P 서비스에 닿을 수 있는 출발지를 프로비저닝에 필요한 운영 시스템과 네트워크로 제한하세요. 인터넷이나 신뢰할 수 없는 파트너 네트워크에 열려 있지 않은지 확인하세요. 이는 노출을 줄이는 임시 조치이며 업데이트를 대신하지 않습니다.
설정 파일의 자격 증명 점검
읽을 수 있는 것은 BroadWorks 사용자가 읽을 수 있는 모든 것입니다. 설정에 데이터베이스, 연동, 관리용 자격 증명이 있다면 읽혔을 수 있다고 보고 교체를 검토하세요. OCI-P에 대한 예상 밖의 접근이 로그에 없는지도 확인하세요(취약점 대응 플레이북).
악용 상황
- CISA가 2026년 11월 10일 KEV에 추가했으며 기한은 11월 24일입니다(KEV 버전 2026.11.10). 본 사이트는 KEV 등재를 악용의 근거로 받아들입니다.
- Cisco 권고는 8월 19일의 최초 버전 그대로(개정 없음)이며, Cisco가 공개 발표나 악의적 사용을 인지하지 못했다고 적고 있습니다. 악용에 대해서는 출처마다 차이가 있습니다.
- KEV에서 랜섬웨어 사용 여부는 Unknown, 포렌식 분류는 No입니다. 이 등재는 침해 확인을 요구하지 않습니다.
- CVE 레코드에 CISA의 평가가 실려 있습니다(활발한 악용, 자동화 가능, 기술적 영향 partial).
- NVD 상태는 Analyzed입니다.
- NVD가 참조하는 CVE 레코드와 서드파티 분석이 있지만, 본 사이트는 그 내용을 교차 확인하지 않았으며 세부 사항은 적지 않습니다.
본 사이트의 견해: 점수가 중간 수준이어도 기한이 붙으면 우선순위가 바뀐다
CVSS 7.5에 노출되는 것이 설정 정보뿐이라면 급하지 않다고 여기기 쉽습니다. 그러나 KEV 등재는 악용이 현실이라는 뜻이며 CVSS 숫자보다 무겁게 봐야 합니다. 수정이 석 달 전부터 공개되어 있으므로, 기한(11월 24일)에서 거꾸로 계산해 이번 주 안에 업데이트 계획을 세우세요(CVSS, EPSS, KEV로 우선순위 정하기).
출처
- Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability(2026년 8월 19일 공개, 최초 버전뿐. 영향 제품, 수정, 회피책 없음, CVSS 7.5)
- CVE.org — CVE-2026-20320(CISA의 추가 포함)
- NVD — CVE-2026-20320(Analyzed. CWE-611)
- CISA KEV — Known Exploited Vulnerabilities Catalog(11월 10일 추가, 기한 11월 24일)
최종 확인: 2026년 11월 11일.
이어서 읽기
- 실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 용어: CVSS란?