Kiteworks EPG 9.5.1: Cuatro correcciones de seguridad documentadas públicamente

Kiteworks continúa la antigua tecnología de totemo como Email Protection Gateway (EPG). La versión 9.5.1 era la versión actual de Kiteworks a más tardar el 25 de septiembre de 2026; el fabricante no indica una fecha de publicación pública. Los avisos del fabricante publicados el 30 de septiembre documentan cuatro correcciones para EPG 9.5.1: una toma de control de cuentas, dos fallos no autenticados para escribir archivos o provocar una denegación de servicio, así como un fallo que permitía a los administradores escribir archivos arbitrarios. La clasificación de la versión homónima de totemomail se encuentra en el artículo sobre totemomail 9.5.1.

Las versiones de un vistazo

Correcciones de seguridad en 9.5.1

Según Kiteworks, los cuatro avisos afectan a todas las versiones de EPG anteriores a 9.5.1 e indican la 9.5.1 como versión corregida. Los avisos se publicaron el 30 de septiembre de 2026. Describen retrospectivamente el estado de seguridad de la versión, no su fecha exacta de publicación.

• CVE-2026-102149, CVSS 9.4 (crítica): Una debilidad en el control de acceso podía permitir a un atacante acceder a cuentas de usuario a través de la red. La evaluación CVSS no requiere privilegios ni interacción del usuario. Kiteworks atribuye la causa a CWE-306 (falta de autenticación para funciones críticas) y CWE-639 (omisión de autorización mediante una clave controlada por el usuario).
• CVE-2026-102143, CVSS 7.5 (alta): Un atacante no autenticado podía escribir archivos en el dispositivo. Kiteworks menciona un problema de autenticación, así como CWE-306 y CWE-434 (carga sin restricciones de tipos de archivos peligrosos).
• CVE-2026-102146, CVSS 6.5 (media): Un administrador podía escribir archivos arbitrarios. Kiteworks describe un error de permisos; la métrica CVSS requiere privilegios elevados. El fabricante menciona como debilidades CWE-73 (control externo del nombre o la ruta de un archivo) y CWE-1336 (neutralización insuficiente en un motor de plantillas).
• CVE-2026-102144, CVSS 5.3 (media): Un atacante en la red podía provocar una denegación de servicio. El aviso menciona falta de autenticación para funciones críticas y consumo incontrolado de recursos (CWE-306, CWE-400). Esta evaluación tampoco requiere privilegios ni interacción del usuario.

Para los operadores, la toma de control de cuentas es la corrección prioritaria, ya que, según el aviso, es posible sin una cuenta existente. Los otros dos fallos sin inicio de sesión también afectan a todas las versiones anteriores a 9.5.1. Los avisos del fabricante no publican detalles técnicos sobre puntos finales, configuraciones o soluciones alternativas.

Procedimiento recomendado

Actualice EPG como mínimo a la versión 9.5.1 si utiliza una versión anterior. Kiteworks indica expresamente para los cuatro avisos la actualización a la versión 9.5.1 o posterior como medida correctiva. Si ya se ha publicado una versión posterior del fabricante, también cumple este requisito mínimo. Kiteworks no ha publicado en las Fuentes consultadas una ruta de actualización pública, problemas conocidos ni plazos de soporte para EPG 9.5.1.