Разбор уязвимости в интерфейсе provisioning Cisco BroadWorks (платформы телефонных услуг, которой пользуются операторы связи и провайдеры облачной телефонии), позволяющей читать конфигурационную информацию. Охват и исправления описаны со стороны защиты, без способов атаки.
- CVE
- CVE-2026-20320 (бюллетень Cisco cisco-sa-bworks-xxe-uwUd7CEt)
- Тяжесть
- CVSS v3.1 7.5 (High; вектор AV:N/AC:L/PR:N/UI:N, только конфиденциальность; присвоена Cisco)
- Тип
- Недостаточное ограничение ссылок на внешние сущности XML (CWE-611). Конфигурационную информацию можно читать без аутентификации
- Затронуто
- BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform, ранее RI.2026.07
- Исправление
- RI.2026.07. Обходного пути нет
- Опубликовано
- Бюллетень Cisco: 19 августа 2026 года (только первая версия)
- Эксплуатация
- Внесена в CISA KEV 10 ноября 2026 года (срок — 24 ноября). Бюллетень Cisco сообщает, что ей не было известно о вредоносном использовании
Что это за уязвимость
Согласно бюллетеню Cisco, XML-анализатор OCI по умолчанию разрешает разрешение внешних сущностей, поэтому неаутентифицированный удалённый атакующий, отправляющий подготовленный XML в службу OCI-P, может читать конфиденциальные файлы в файловой системе с правами пользователя BroadWorks. В векторе CVSS высокое только влияние на конфиденциальность; целостность и доступность не затронуты. Формат данных в бюллетене не описан, и этот сайт его тоже не описывает.
Охват
| Продукт | Затронутые версии | Исправление |
|---|---|---|
| BroadWorks Application Delivery Platform | Ранее RI.2026.07 (компоненты Open Client Server [OCS] и OCIOverSoap) | RI.2026.07 |
| BroadWorks Application Server | Ранее RI.2026.07 | RI.2026.07 |
| BroadWorks Profile Server | Ранее RI.2026.07 | RI.2026.07 |
| BroadWorks Xtended Services Platform | Ранее RI.2026.07 | RI.2026.07 |
- Затронуты все четыре независимо от конфигурации устройства. Для продуктов, которых нет в списке, затронутость не подтверждена.
- Обходного пути нет. Cisco советует обновиться, чтобы полностью устранить проблему.
- Если вы используете BroadWorks через реселлера или управляемую услугу, ориентируйтесь на те же версии и уточните рекомендации вашего поставщика.
Что сделать сегодня (операторам)
Проведите инвентаризацию компонентов BroadWorks и версий
Посчитайте Application Delivery Platform, Application Server, Profile Server и Xtended Services Platform для каждой боевой, тестовой и аварийной среды и проверьте, не ранее ли каждая из них RI.2026.07 (чек-лист инвентаризации активов).
Обновитесь до RI.2026.07
Следуйте процедуре Cisco. Срок KEV — 24 ноября. Для сред, которые нельзя остановить, спланируйте скользящее обновление по одной стороне резервированных пар, отсчитывая от срока.
До обновления ограничьте круг тех, кто может обращаться к OCI-P
Cisco не даёт обходного пути. Это собственное дополнение сайта: ограничьте источники, которые могут обращаться к службе OCI-P, операционными системами и сетями, нужными для provisioning. Убедитесь, что она не открыта для интернета или недоверенных партнёрских сетей. Это временная мера, уменьшающая риск, а не замена обновления.
Проверьте учётные данные в файлах конфигурации
Прочитать можно всё, что доступно пользователю BroadWorks. Если в конфигурации есть учётные данные баз данных, интеграций или администраторов, исходите из того, что они могли быть прочитаны, и рассмотрите их смену. Проверьте также журналы на неожиданные обращения к OCI-P (плейбук устранения уязвимостей).
Состояние эксплуатации
- CISA внесла её в KEV 10 ноября 2026 года со сроком 24 ноября (версия KEV 2026.11.10). Этот сайт считает внесение в KEV свидетельством эксплуатации.
- Бюллетень Cisco остаётся первой версией от 19 августа (без изменений) и сообщает, что Cisco не известно о публичных объявлениях или вредоносном использовании. Источники расходятся в вопросе эксплуатации.
- В KEV использование в атаках с вымогателями — Unknown, а криминалистический разбор — No. Эта запись не требует проверки на компрометацию.
- В записи CVE есть оценка CISA (активная эксплуатация, автоматизируема, частичное техническое воздействие).
- Статус в NVD — Analyzed.
- Запись CVE и сторонний анализ, на которые ссылается NVD, существуют, но этот сайт не проверял их содержание и подробностей не описывает.
Мнение этого сайта: умеренная оценка меняет приоритет, как только появляется срок
При CVSS 7.5 и раскрытии лишь конфигурационной информации легко счесть вопрос несрочным. Но запись в KEV означает, что эксплуатация реальна, и это должно перевешивать число CVSS. Исправление опубликовано три месяца назад, так что отсчитайте от срока (24 ноября) и составьте план обновления на этой неделе (приоритизация по CVSS, EPSS и KEV).
Источники
- Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability (опубликовано 19 августа 2026 года, только первая версия; затронутые продукты, исправление, отсутствие обходного пути, CVSS 7.5)
- CVE.org — CVE-2026-20320 (включает добавления CISA)
- NVD — CVE-2026-20320 (Analyzed; CWE-611)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 10 ноября, срок 24 ноября)
Последняя проверка: 11 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Термины: Что такое CVSS?