Kiteworks EPG 9.5.1: quattro correzioni di sicurezza documentate pubblicamente

Kiteworks prosegue la precedente tecnologia totemo come Email Protection Gateway (EPG). La versione 9.5.1 era l’attuale versione Kiteworks al più tardi il 25 settembre 2026; il produttore non indica una data di rilascio pubblica. Gli advisory del produttore pubblicati il 30 settembre documentano quattro correzioni per EPG 9.5.1: una compromissione dell’account, due vulnerabilità non autenticate per la scrittura di file o l’attivazione di un Denial of Service, nonché una vulnerabilità che consentiva agli amministratori di scrivere file arbitrari. La classificazione per l’omonima versione totemomail è disponibile nell’articolo su totemomail 9.5.1.

Panoramica delle versioni

Correzioni di sicurezza nella 9.5.1

Secondo Kiteworks, tutti e quattro gli advisory riguardano tutte le versioni EPG precedenti alla 9.5.1 e indicano la 9.5.1 come versione corretta. Gli advisory sono stati pubblicati il 30 settembre 2026. Descrivono retrospettivamente lo stato di sicurezza del rilascio, non la sua data di pubblicazione esatta.

• CVE-2026-102149, CVSS 9.4 (critico): Una debolezza nel controllo degli accessi poteva consentire a un aggressore di accedere agli account utente tramite la rete. La valutazione CVSS non richiede né privilegi né interazione dell’utente. Kiteworks attribuisce la causa a CWE-306 (autenticazione mancante per funzioni critiche) e CWE-639 (aggiramento dell’autorizzazione tramite una chiave controllata dall’utente).
• CVE-2026-102143, CVSS 7.5 (alto): Un aggressore non autenticato poteva scrivere file sull’appliance. Kiteworks cita un problema di autenticazione nonché CWE-306 e CWE-434 (caricamento illimitato di tipi di file pericolosi).
• CVE-2026-102146, CVSS 6.5 (medio): Un amministratore poteva scrivere file arbitrari. Kiteworks descrive un errore di autorizzazione; la metrica CVSS richiede privilegi elevati. Il produttore indica come debolezze CWE-73 (controllo esterno del nome file o del percorso) e CWE-1336 (neutralizzazione insufficiente in un template engine).
• CVE-2026-102144, CVSS 5.3 (medio): Un aggressore nella rete poteva attivare un Denial of Service. L’advisory cita l’autenticazione mancante per funzioni critiche e il consumo incontrollato di risorse (CWE-306, CWE-400). Anche questa valutazione non richiede privilegi né interazione dell’utente.

Per gli operatori, la compromissione dell’account è la correzione prioritaria, poiché secondo l’advisory è possibile senza un account esistente. Anche le altre due vulnerabilità senza autenticazione riguardano tutte le versioni precedenti alla 9.5.1. Gli advisory del produttore non pubblicano dettagli tecnici su endpoint, configurazioni o soluzioni alternative.

Procedura consigliata

Aggiornate EPG almeno alla versione 9.5.1 se utilizzate una versione precedente. Kiteworks indica esplicitamente per tutti e quattro gli advisory l’aggiornamento alla 9.5.1 o successiva come rimedio. Se è già stata approvata una versione successiva del produttore, anch’essa soddisfa questa versione minima. Kiteworks non ha pubblicato nelle fonti consultate un percorso di aggiornamento pubblico, problemi noti o termini di supporto per EPG 9.5.1.