Kiteworks EPG 9.5.1 : quatre correctifs de sécurité documentés publiquement

Kiteworks poursuit l’ancienne technologie totemo sous le nom d’Email Protection Gateway (EPG). La version 9.5.1 était au plus tard le 25 septembre 2026 la version actuelle de Kiteworks ; le fabricant ne mentionne pas de date de publication publique. Les avis du fabricant publiés le 30 septembre documentent quatre correctifs pour EPG 9.5.1 : une prise de contrôle de compte, deux vulnérabilités non authentifiées permettant respectivement l’écriture de fichiers et le déclenchement d’un déni de service, ainsi qu’une vulnérabilité permettant aux administrateurs d’écrire des fichiers arbitraires. La classification pour la version totemomail du même nom figure dans l’article sur totemomail 9.5.1.

Aperçu des versions

Correctifs de sécurité dans la version 9.5.1

Selon Kiteworks, les quatre avis concernent toutes les versions d’EPG antérieures à la version 9.5.1 et indiquent la version 9.5.1 comme version corrigée. Les avis ont été publiés le 30 septembre 2026. Ils décrivent rétrospectivement l’état de sécurité de la version, et non sa date de publication exacte.

• CVE-2026-102149, CVSS 9,4 (critique) : Une faiblesse dans le contrôle d’accès pouvait permettre à un attaquant d’accéder à des comptes utilisateurs via le réseau. L’évaluation CVSS ne requiert ni privilèges ni interaction de l’utilisateur. Kiteworks attribue la cause à CWE-306 (absence d’authentification pour des fonctions critiques) et CWE-639 (contournement de l’autorisation via une clé contrôlée par l’utilisateur).
• CVE-2026-102143, CVSS 7,5 (élevé) : Un attaquant non authentifié pouvait écrire des fichiers sur l’appliance. Kiteworks mentionne un problème d’authentification ainsi que CWE-306 et CWE-434 (téléversement non restreint de types de fichiers dangereux).
• CVE-2026-102146, CVSS 6,5 (moyen) : Un administrateur pouvait écrire des fichiers arbitraires. Kiteworks décrit une erreur de privilèges ; la métrique CVSS requiert des privilèges élevés. Le fabricant cite comme faiblesses CWE-73 (contrôle externe du nom de fichier ou du chemin) et CWE-1336 (neutralisation insuffisante dans un moteur de modèles).
• CVE-2026-102144, CVSS 5,3 (moyen) : Un attaquant sur le réseau pouvait déclencher un déni de service. L’avis mentionne l’absence d’authentification pour des fonctions critiques et une consommation non contrôlée de ressources (CWE-306, CWE-400). Cette évaluation ne requiert pas non plus de privilèges ni d’interaction de l’utilisateur.

Pour les exploitants, la prise de contrôle de compte est le correctif prioritaire, car elle est, selon l’avis, possible sans compte existant. Les deux autres vulnérabilités sans connexion concernent également toutes les versions antérieures à la version 9.5.1. Les avis du fabricant ne publient aucun détail technique sur les points de terminaison, les configurations ou les solutions de contournement.

Procédure recommandée

Mettez EPG à niveau au minimum vers la version 9.5.1 si une version antérieure est utilisée. Pour les quatre avis, Kiteworks indique explicitement la mise à niveau vers la version 9.5.1 ou une version ultérieure comme mesure corrective. Si une version ultérieure du fabricant est déjà validée, elle satisfait également à cette version minimale. Kiteworks n’a pas publié dans les sources consultées de chemin de mise à jour public, de problèmes connus ni de périodes de support pour EPG 9.5.1.