Kiteworks EPG 9.5.1: Vier öffentlich dokumentierte Sicherheitskorrekturen
Kiteworks Email Protection Gateway 9.5.1 behebt vier öffentlich dokumentierte Schwachstellen, darunter eine Kontoübernahme mit CVSS 9.4. Installationen vor 9.5.1 sollten auf diese oder eine spätere Version aktualisiert werden.
Kiteworks führt die frühere totemo-Technologie als Email Protection Gateway (EPG) weiter. Version 9.5.1 war spätestens am 25. September 2026 die aktuelle Kiteworks-Version; ein öffentliches Veröffentlichungsdatum nennt der Hersteller nicht. Die am 30. September veröffentlichten Hersteller-Advisories dokumentieren für EPG 9.5.1 vier Korrekturen: eine Kontoübernahme, zwei nicht authentifizierte Fehler zum Schreiben von Dateien beziehungsweise zum Auslösen eines Denial of Service sowie einen Fehler, der Administratoren das Schreiben beliebiger Dateien erlaubte. Die Einordnung für die gleichnamige totemomail-Version steht im Artikel zu totemomail 9.5.1.
Die Versionen im Überblick
| Version | Datum | Art | Kernpunkte |
|---|---|---|---|
| 9.5.1 | spätestens 25.09.2026 öffentlich bestätigt | Sicherheitsupdate | Vier öffentlich dokumentierte EPG-Korrekturen, darunter CVE-2026-102149 mit CVSS 9.4 |
Sicherheitskorrekturen in 9.5.1
Alle vier Advisories betreffen laut Kiteworks sämtliche EPG-Versionen vor 9.5.1 und nennen 9.5.1 als korrigierte Version. Die Advisories wurden am 30. September 2026 veröffentlicht. Sie beschreiben nachträglich den Sicherheitsstand des Releases, nicht dessen genaues Veröffentlichungsdatum.
- CVE-2026-102149, CVSS 9.4 (kritisch): Eine Schwäche in der Zugriffskontrolle konnte einem Angreifer über das Netzwerk Zugang zu Benutzerkonten ermöglichen. Die CVSS-Bewertung setzt weder Berechtigungen noch Benutzerinteraktion voraus. Kiteworks ordnet die Ursache CWE-306 (fehlende Authentifizierung für kritische Funktionen) und CWE-639 (Autorisierungsumgehung über einen vom Benutzer kontrollierten Schlüssel) zu.
- CVE-2026-102143, CVSS 7.5 (hoch): Ein nicht authentifizierter Angreifer konnte Dateien auf die Appliance schreiben. Kiteworks nennt ein Authentifizierungsproblem sowie CWE-306 und CWE-434 (unbeschränkter Upload gefährlicher Dateitypen).
- CVE-2026-102146, CVSS 6.5 (mittel): Ein Administrator konnte beliebige Dateien schreiben. Kiteworks beschreibt einen Berechtigungsfehler; die CVSS-Metrik verlangt hohe Berechtigungen. Als Schwächen nennt der Hersteller CWE-73 (externe Steuerung von Dateiname oder Pfad) und CWE-1336 (unzureichende Neutralisierung in einer Template Engine).
- CVE-2026-102144, CVSS 5.3 (mittel): Ein Angreifer im Netzwerk konnte einen Denial of Service auslösen. Das Advisory nennt fehlende Authentifizierung für kritische Funktionen und unkontrollierten Ressourcenverbrauch (CWE-306, CWE-400). Auch diese Bewertung setzt keine Berechtigungen und keine Benutzerinteraktion voraus.
Für Betreiber ist die Kontoübernahme die vorrangige Korrektur, weil sie laut Advisory ohne vorhandenes Konto möglich ist. Die beiden weiteren Fehler ohne Anmeldung betreffen ebenfalls alle Versionen vor 9.5.1. Die Hersteller-Advisories veröffentlichen keine technischen Details zu Endpunkten, Konfigurationen oder Workarounds.
Empfohlenes Vorgehen
Setzen Sie EPG mindestens auf 9.5.1, sofern eine ältere Version eingesetzt wird. Kiteworks nennt für alle vier Advisories ausdrücklich das Upgrade auf 9.5.1 oder später als Abhilfe. Ist bereits eine spätere Hersteller-Version freigegeben, erfüllt sie diese Mindestversion ebenfalls. Einen öffentlichen Update-Pfad, bekannte Probleme oder Supportfristen für EPG 9.5.1 hat Kiteworks in den geöffneten Quellen nicht veröffentlicht.
Kommentare
Die Kommentare werden von GitHub / Giscus geladen.