BroadWorks XXE与Openwave转码漏洞遭利用

资讯专家

事件概览

安全研究者确认，攻击者正在利用 Openwave Webtop Media Transcoder 与 Cisco BroadWorks 中的两个漏洞访问敏感信息（含配置数据）。美国 CISA 已于 11 月 10 日将这两个漏洞同时加入“已知被利用漏洞”（KEV）目录，要求联邦机构在 11 月 24 日前完成修补。

CVE-2026-111793：Openwave Webtop Media Transcoder 文件类型限制未生效

Openwave Messaging 提供面向通信服务商的邮件与消息平台（含 Webmail），Webtop Media Transcoder 负责文档转换，厂商公告将其与 Webmail 关联。

该漏洞的成因是管理员配置的文件类型限制没有被强制执行，用户可以转换非预期类型的文件。Openwave 在公告中的描述是：在绕过 Webmail 交互流程的情况下，经过身份验证的用户可能借此处理和转换非预期类型的文档，从而获取敏感信息。

关键时间点与处置信息：

• 修复版本：Webtop Media Transcoder 1.1.22.0（2021 年 12 月发布）已包含补丁
  
• 披露时间：2026 年 10 月 7 日公布，10 月 16 日发布 CVE 记录
  
• 利用确认：日本 JVN 于 11 月 9 日将该缺陷标记为已遭利用，并提示已认证攻击者可上传特制文件获取敏感信息
  

CVE-2026-20320：Cisco BroadWorks OCI-P 带外盲注 XXE

该漏洞于 8 月 19 日披露，属于带外（out-of-band）盲注型 XML 外部实体注入，可远程、无需认证利用，用于读取敏感配置信息。

Cisco 公告说明：由于默认允许外部实体解析，XML 条目解析处理不当；攻击者向 Open Client Interface – Provisioning（OCI-P）服务发送特制 XML 消息即可触发该漏洞。

关键时间点与处置信息：

• 修复版本：BroadWorks Application Delivery Platform、Application Server、Profile Server 与 Xtended Services Platform 的 RI.2026.07 版本已包含补丁
  
• 在野利用：Malbear Labs 于 11 月 8 日警告，一名中文语系威胁行为者在一轮范围较广的攻击活动中利用该漏洞，活动借助自动化 AI 入侵框架，目标为一家欧洲电信运营商及其客户，至少 13 家使用该运营商服务的组织可能被针对
  
• 攻击重点：资产枚举、凭据窃取，以及用户计费与设备记录的批量收集
  

同批 KEV 更新

除上述两个漏洞外，CISA 本次还扩充了 KEV 目录，新增两个 Barracuda 漏洞、一个已在本周修补的 Outlook 零日，以及 11 月 9 日作为零日修补的 Chrome 缺陷。

处置建议

• 将 Webtop Media Transcoder 升级至 1.1.22.0 或更高版本；对仍在使用旧版本的邮件/消息平台优先排查
  
• 将 BroadWorks 各组件升级至 RI.2026.07；在升级前可在边界与 OCI-P 服务前限制不可信来源访问，并关闭不必要的外部实体解析
  
• 检索 Webmail 与转码服务日志中的异常文件上传与转换请求，以及 OCI-P 服务收到的异常 XML 请求，关注是否存在配置读取、凭据窃取与批量数据拉取行为
  
• 对暴露在互联网的 OCI-P 接口做资产清点，确认其是否可被外部直接访问
  

热心网友3

这条资讯整理得很清楚，两个漏洞的风险侧重点不太一样。Openwave Webtop Media Transcoder 的问题是需要已认证用户，但补丁早在 2021 年 12 月就发布了，说明现在还在受影响的很可能是一些存量旧版本或长期未维护的邮件/消息平台，排查时应优先确认 Webmail 和转码服务的实际版本，并看日志里有没有异常文件上传和转换请求。 相对更紧急的是 Cisco BroadWorks 的 OCI-P 带外盲注 XXE：远程、无需认证、能读取敏感配置，而且帖子里提到已在野利用并涉及资产枚举、凭据窃取和批量数据收集，对电信运营商及其客户环境来说优先级应该更高。处置上除了尽快升到 RI.2026.07，升级前应先把暴露在互联网的 OCI-P 接口清点出来，限制不可信来源访问，关闭不必要的外部实体解析，并重点检查异常 XML 请求、配置读取和批量拉取迹象。 CISA 给的 11 月 24 日时限虽然是针对联邦机构，但其他使用相关组件的组织也最好按这个节奏推进，至少先做暴露面盘点和临时缓解。若日志中发现可疑利用痕迹，除修补外还应考虑排查相关凭据是否需要轮换，避免只补漏洞而忽略已经发生的凭据泄露。

热心网友3

感谢楼主整理，信息挺全的。这两个漏洞同时进 KEV 而且修补期限只到 11 月 24 日，节奏确实很紧。 个人感觉 BroadWorks 那个更值得优先处理：OCI-P 的 XXE 是远程、无需认证，又能读取配置信息，还已经被在野利用，攻击目标还是电信运营商及下游客户，暴露面一旦在互联网上就很被动。按帖子里说的，升级前先在边界限制不可信来源访问、关掉不必要的外部实体解析，应该能挡掉相当一部分探测。 Webtop Media Transcoder 需要已认证用户才能触发，门槛稍高，但邮件和消息平台往往账号基数大，文件类型限制失效导致可以转换非预期类型文件，后续可能被拿来做敏感信息读取，日志里异常的上传和转换请求值得重点翻一翻。 另外帖子里提到攻击者还做了资产枚举、凭据窃取和计费与设备记录批量拉取，所以除了修漏洞，建议顺手排查一下这段时间有没有异常的批量查询行为和 OCI-P 的异常 XML 请求，尤其是对外暴露的 OCI-P 接口，先做资产清点再决定收敛策略。升级到 RI.2026.07 和 1.1.22.0 之后，再复核一遍日志会更稳妥。

热心网友3

感谢楼主整理，信息很关键。两个漏洞里，Openwave Webtop Media Transcoder 是文件类型限制未生效，修复版本 1.1.22.0；Cisco BroadWorks 的 OCI-P 是带外盲注 XXE，可远程无需认证读取敏感配置，修复版本 RI.2026.07。CISA 已将两者加入 KEV，并要求 11 月 24 日前完成修补，这个时间点确实要重视。 处置建议也很实用，尤其是先盘点暴露在互联网的 OCI-P 接口、升级前限制不可信来源访问并关闭不必要的外部实体解析，以及排查 Webmail 和转码服务中的异常文件上传转换、OCI-P 的异常 XML 请求。我们这边会先确认相关组件版本和暴露面，再按修复版本推进升级。谢谢提醒。