CVE-2026-102149 Kiteworks Email Protection Gateway Improper Access Control
9.4
Analyse auf rafaelpfister.ch
- Artikel · 6. November 2026 Kiteworks EPG 9.5.1: Vier öffentlich dokumentierte Sicherheitskorrekturen Kiteworks Email Protection Gateway 9.5.1 behebt vier öffentlich dokumentierte Schwachstellen, darunter eine Kontoübernahme mit CVSS 9.4. Installationen vor 9.5.1 sollten auf diese oder eine spätere Version aktualisiert werden.
- Artikel · 31. Oktober 2026 totemomail 9.5.1: Account-Übernahme im Web Portal und SSRF über eingehende Mails geschlossen totemomail 9.5.1 schliesst acht Sicherheitslücken und bringt totemomail auf den Stand, auf den sich die Ende September veröffentlichten Kiteworks-Advisories zum Email Protection Gateway beziehen. Zwei Lücken lassen sich ohne Anmeldung ausnutzen: ein Fehler im Passwort-Reset des Web Portals, der die Übernahme von Administratorkonten erlaubt, und serverseitige Abrufe von URLs aus eingehenden Nachrichten. Dazu kommen Path-Traversal-Fixes in Admin API und Mail API sowie aktualisierte Tomcat- und Batik-Bibliotheken.
- Artikel · 25. September 2026 Kiteworks: Hersteller empfiehlt Abschaltung am 26. September - Was bislang bekannt ist Kiteworks forderte seine Kunden auf, alle Systeme am Samstag, 26.09.2026, von 04:00 bis 10:00 Uhr herunterzufahren. Abschlussbericht: Während der Abschaltung fand und schloss der Hersteller eine kritische Lücke ohne CVE; am 30.09. folgten 125 Advisories, darunter CVE-2026-54154 (CVSS 10.0) im Email Protection Gateway. Totemomail ist nicht betroffen.
Beschreibung des Herstellers (englisch)
Kiteworks Email Protection Gateway did not sufficiently restrict which account a certificate could be assigned to. This could allow an attacker to associate a certificate with another user's account, affecting the confidentiality and integrity of that account's encrypted mail and, where certificate-based login is enabled, potentially permitting unauthorized access to the account. Stammdaten
- Hersteller
- Kiteworks
- Betroffene Produkte
- Email Protection Gateway
- CVSS 3.1
- 9.4 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Schwachstellentyp
- CWE-306: Missing Authentication
- Veröffentlicht
- 30. September 2026
