높음CVSS7.52026-11-11
CVE-2026-20320 — Cisco BroadWorks XXE로 인증 없는 공격자가 설정 정보를 읽을 수 있음: 해설과 대책(RI.2026.07에서 수정, KEV 등재)
Cisco BroadWorks의 OCI(Open Client Interface) XML 파서가 기본적으로 외부 엔터티 해석을 허용하므로, 인증 없는 공격자가 OCI-P 서비스를 통해 설정 정보를 읽을 수 있습니다(CWE-611, CVSS 7.5). RI.2026.07 이전의 Application Delivery Platform, Application Server, Profile Server, Xtended Services Platform이 영향을 받으며 회피책은 없습니다. Cisco 권고는 8월 19일의 최초 버전 그대로이며 악의적 사용을 인지하지 못했다고 적었습니다. CISA가 11월 10일 KEV에 추가했습니다(기한 11월 24일). 본 사이트의 견해: RI.2026.07로 업데이트하고, 그때까지 OCI-P에 닿을 수 있는 범위를 제한하며, 설정 파일에 있는 자격 증명의 교체를 검토하세요.