Wowza Streaming Engine XXE 可讀取本機檔案：升級至 4.12.2
情報摘要
Wowza Streaming Engine 4.12.1 及更早版本存在 XML 外部實體（XXE）漏洞 CVE-2026-123029。可令伺服器處理特製 XML 的遠端客戶端，可能以 WSE 行程權限讀取本機檔案，洩露設定或憑證。原廠於 2026 年 10 月 30 日公布修補，CVE 紀錄則於 11 月 5 日公開；完整修復須升級至 4.12.2 或更新版本。
原廠列出的受影響條件包括使用 WSE 4.12.1 或更早版本，以及伺服器可被不可信客戶端連接。漏洞須令 WSE 處理特製 XML；可讀取的檔案受 WSE 行程的作業系統權限限制。以非 root 帳戶執行可縮小可讀範圍，但不會消除漏洞。
CVE CNA 紀錄將受影響範圍列為早於 4.12.2 的版本，並以 CWE-611 分類。其 CVSS 向量評估為可經網絡觸發、無須事先取得權限或使用者互動；實際暴露程度仍須按部署的可達性及檔案權限判斷。
Wowza 披露時間線記載，廠商於 2026 年 10 月 12 日收到報告，於 10 月 30 日發布 4.12.2 及本公告。10 月 12 日是收到報告的日期，不是已確認的入侵日期。CVE 紀錄的公開時間為 11 月 5 日 06:45 UTC（香港時間 14:45）；本次收錄不代表漏洞或入侵在 11 月 5 日才發生。
受影響產品
Wowza Streaming Engine（WSE）4.12.1 及更早版本；4.12.2 已修補。
適用讀者
在香港或其他地區自行管理 Wowza Streaming Engine 的串流服務、系統管理及資訊保安團隊
建議行動
按原廠指引升級至 Wowza Streaming Engine 4.12.2 或更新版本；升級是完整修復方法。若暫時不能升級，原廠建議讓 WSE 與 WSE Manager 各自使用專用的非特權服務帳戶，而非 root；停用遠端 shared objects，在每個應用程式及範本的 Application.xml 中，把 SharedObjectReadAccess 與 SharedObjectWriteAccess 設為空值，然後重新啟動伺服器；並收緊非串流連接埠的防火牆規則，只容許可信客戶端。停用前應核對舊有 RTMP 客戶端是否依賴 shared objects。這些措施只能減低風險，不能取代升級。
風險評級依據
本頁沿用 Wowza 原廠公告的 Critical 評級。MITRE 提供的 CVE CNA 紀錄另列 CVSS 3.1 為 7.5（High），向量為 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N。兩者分別是廠商標籤與 CVSS 評分，不能把 7.5 稱為 CVSS Critical。
解讀限制
Wowza 公告的野外利用欄位列為 None，僅代表廠商在公告中表示沒有已知野外利用；這不是不存在攻擊的保證，也不代表本次編輯已獨立排除利用。
現有原始來源沒有確認香港機構、部署數量或用戶受影響；香港實際影響未能核實。
本通報確認的主要影響是以 WSE 行程權限讀取本機檔案，不應據此推定所有主機檔案均可讀取，或已發生主機失陷。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。