Cisco ha lanzado actualizaciones de seguridad para una vulnerabilidad de inyección de Entidades Externas XML (XXE) de severidad alta en Cisco BroadWorks que podría permitir a atacantes remotos no autenticados leer datos de configuración sensibles y archivos de los sistemas afectados.

Rastreado como CVE-2026-20320, el problema tiene una puntuación CVSS de 7.5 y afecta a varios componentes de la plataforma BroadWorks. La vulnerabilidad, identificada en el analizador XML de la Interfaz de Cliente Abierta (Open Client Interface), está clasificada como CWE-611, o restricción inadecuada de la referencia a entidades externas XML.

Cisco publicó el aviso, cisco-sa-bworks-xxe-uwUd7CEt, el 19 de agosto de 2026. Cisco señaló que el fallo existe porque el analizador XML afectado permite la resolución de entidades externas por defecto.

Cuando se procesa una entrada XML, las entidades externas pueden instruir al analizador para que recupere recursos locales o acceda a otras ubicaciones disponibles. Este comportamiento puede exponer información que no debería ser accesible a través de la interfaz XML.

Un atacante podría explotar la vulnerabilidad enviando un mensaje XML especialmente diseñado al servicio de aprovisionamiento de la Interfaz de Cliente Abierta, también conocido como OCI-P.

La explotación exitosa no requiere autenticación ni interacción del usuario, lo que aumenta el riesgo para los despliegues de BroadWorks expuestos o accesibles.

Vulnerabilidad de Inyección de Entidades Externas de Cisco

Cisco advirtió que un ataque exitoso podría permitir al actor de la amenaza ver archivos sensibles del sistema de archivos utilizando los permisos asignados al usuario de Cisco BroadWorks. El aviso describe específicamente el problema como una vulnerabilidad de inyección de Entidades Externas XML ciega fuera de banda.

En un ataque XXE ciego, es posible que el atacante no reciba el contenido del archivo objetivo directamente en la respuesta de la aplicación. En su lugar, se puede inducir al servidor vulnerable a enviar datos o resultados de la interacción a un sistema externo controlado por el atacante.

Los productos afectados incluyen Cisco BroadWorks Application Delivery Platform, BroadWorks Application Server, BroadWorks Profile Server y BroadWorks Xtended Services Platform.

Según Cisco, los sistemas que ejecuten versiones anteriores a RI.2026.07 están afectados en estas familias de productos. Cisco ha solucionado la vulnerabilidad en BroadWorks RI.2026.07. Para la plataforma BroadWorks Application Delivery, la corrección se aplica a los componentes Open Client Server y OCIOverSoap.

Si tú utilizas versiones impactadas en tu organización, debes identificar los sistemas que exponen o usan OCI-P y actualizar a la versión de software corregida correspondiente lo antes posible.

No hay una solución alternativa disponible. Cisco recomienda actualizar en lugar de confiar en mitigaciones temporales, ya que se requiere una versión corregida para remediar el problema por completo. También deberías revisar la exposición de red para la gestión de BroadWorks y las interfaces de aprovisionamiento.

OCI-P no debe ser ampliamente accesible desde redes no confiables, y tú deberías limitar el acceso a través de segmentación de red, políticas de firewall y rutas administrativas estrictamente controladas.

Tus equipos de seguridad pueden monitorear solicitudes XML inusuales, conexiones salientes inesperadas desde la infraestructura de BroadWorks e intentos sospechosos de acceder a archivos locales o servicios de red internos.

Cisco PSIRT afirmó que no tenía conocimiento de anuncios públicos o explotación maliciosa de CVE-2026-20320 en el momento de la publicación. El investigador de seguridad Sandesh M Gawai informó la vulnerabilidad.