Vulnerabilidad XXE explotada activamente en Cisco BroadWorks - CVE-2026-20320

Descripción

Cisco BroadWorks presenta una vulnerabilidad XXE ciega y fuera de banda en el analizador XML de la Open Client Interface (OCI). El analizador permite por defecto la resolución de entidades externas. Un atacante puede enviar un mensaje XML manipulado al servicio Open Client Interface – Provisioning (OCI-P) y leer archivos del sistema con los privilegios del usuario de BroadWorks. Al ser un XXE ciego, el contenido no vuelve necesariamente en la respuesta: puede exfiltrarse hacia infraestructura del atacante mediante peticiones DNS o HTTP salientes.

• Tipo: CWE-611, restricción inadecuada de referencias a entidades externas XML.
• Vector: red, complejidad baja, sin privilegios ni interacción del usuario.
• Impacto: confidencialidad alta. Sin impacto directo en integridad ni disponibilidad.

Cisco publicó el aviso cisco-sa-bworks-xxe-uwUd7CEt (Bug ID CSCwv48590) el 19/08/2026. En ese momento no tenía constancia de explotación. La vulnerabilidad fue reportada por el investigador Sandesh M Gawai. El 10/11/2026 CISA la añadió al catálogo KEV, con fecha límite para agencias federales de EE. UU. el 24/11/2026.

El 08/11/2026 Malbear Labs publicó el informe "Operation Snowball". Describe una campaña en la que un agente de IA operado por un actor de habla china habría usado esta CVE como acceso inicial contra un operador europeo de telecomunicaciones y 13 organizaciones alojadas en su infraestructura. Según el informe, desde un servidor BroadWorks XSP se obtuvieron la clave privada de identidad del sistema, tres juegos de credenciales SSL y tres claves privadas adicionales.

Severidad

Origen	Puntaje	Observación
Cisco (CNA)	CVSS 3.1: 7.5 (alta)	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
NVD	Sin puntaje propio	Muestra el del CNA
CISA (KEV)	Explotación activa confirmada	Incluida el 10/11/2026; plazo federal: 24/11/2026

Recursos afectados

Plataformas Cisco BroadWorks, usadas principalmente por operadores de telecomunicaciones y proveedores de servicios gestionados para voz y colaboración en la nube. Según Cisco, los productos están afectados si ejecutan una versión vulnerable, independientemente de su configuración.

Producto	Versiones afectadas	Versión corregida
BroadWorks Application Delivery Platform (Open Client Server y OCIOverSoap)	Anteriores a RI.2026.07	RI.2026.07
BroadWorks Application Server	Anteriores a RI.2026.07	RI.2026.07
BroadWorks Profile Server	Anteriores a RI.2026.07	RI.2026.07
BroadWorks Xtended Services Platform (XSP)	Anteriores a RI.2026.07	RI.2026.07

Cisco considera afectados solo los productos listados. Esta vulnerabilidad no afecta a otros fabricantes.

Solución/Mitigación

La única remediación es actualizar todos los componentes afectados a BroadWorks RI.2026.07 o posterior, siguiendo las rutas de actualización soportadas del aviso de Cisco. Cisco indica que no existen workarounds.

Mientras se actualiza, las siguientes medidas reducen la superficie de ataque pero no corrigen el defecto:

• Restringir el acceso de red al servicio OCI-P y a las interfaces de provisión y gestión solo a los sistemas autorizados. No exponerlas a Internet.
• Limitar el tráfico saliente DNS y HTTP desde los servidores BroadWorks, ya que el XXE ciego permite exfiltrar información fuera de banda.

Cómo verificar si un equipo está afectado

Comprobar la versión de BroadWorks de cada componente. Toda versión anterior a RI.2026.07 debe considerarse vulnerable, independientemente de su configuración.

Si el servicio OCI-P de un componente vulnerable fue alcanzable desde redes no autorizadas, el equipo debe considerarse potencialmente comprometido.

Indicadores de compromiso

Cisco y CISA no han publicado indicadores de compromiso específicos. Como orientación general para ataques XXE, no como indicadores confirmados, conviene vigilar:

• Peticiones al servicio OCI-P que contengan declaraciones DTD, <!DOCTYPE, <!ENTITY o URIs SYSTEM y file://.
• Conexiones DNS o HTTP salientes inesperadas desde servidores BroadWorks hacia dominios o IPs desconocidos.
• Lecturas anómalas de archivos de configuración, claves o certificados por la cuenta de servicio de BroadWorks.

Recomendaciones

• Inventariar todas las instancias de BroadWorks (Application Delivery Platform, Application Server, Profile Server y XSP), incluidas las administradas por terceros.
• Actualizar a RI.2026.07 con prioridad inmediata, sin esperar a la ventana de mantenimiento habitual.
• Restringir el acceso de red a OCI-P y a las interfaces de gestión mientras se completa la actualización.
• Si OCI-P estuvo expuesto antes de actualizar, asumir posible compromiso: rotar la clave de identidad del sistema, los certificados SSL y cualquier credencial o clave privada almacenada en esos servidores.
• Revisar los registros en busca de los patrones indicados y de movimiento lateral hacia otros sistemas.
• Consultar con el proveedor si el servicio de telefonía o colaboración en la nube contratado se basa en BroadWorks.