Kiteworks EPG 9.5.1: Fire offentlig dokumenterte sikkerhetsrettinger

Kiteworks viderefører den tidligere totemo-teknologien som Email Protection Gateway (EPG). Versjon 9.5.1 var senest 25. september 2026 den gjeldende Kiteworks-versjonen; produsenten oppgir ingen offentlig publiseringsdato. Produsentens advisories, publisert 30. september, dokumenterer fire rettinger i EPG 9.5.1: en konto-overtakelse, to uautentiserte feil for henholdsvis skriving av filer og utløsing av tjenestenekt, samt en feil som gjorde det mulig for administratorer å skrive vilkårlige filer. Vurderingen for totemomail-versjonen med samme navn finnes i artikkelen om totemomail 9.5.1.

Versjonene i oversikt

Sikkerhetsrettinger i 9.5.1

Alle de fire advisoryene gjelder ifølge Kiteworks alle EPG-versjoner før 9.5.1 og oppgir 9.5.1 som rettet versjon. Advisoryene ble publisert 30. september 2026. De beskriver sikkerhetsstatusen for utgivelsen i ettertid, ikke den nøyaktige publiseringsdatoen.

• CVE-2026-102149, CVSS 9.4 (kritisk): En svakhet i tilgangskontrollen kunne gi en angriper tilgang til brukerkontoer via nettverket. CVSS-vurderingen forutsetter verken rettigheter eller brukerinteraksjon. Kiteworks klassifiserer årsaken som CWE-306 (manglende autentisering for kritiske funksjoner) og CWE-639 (omgåelse av autorisering via en brukerkontrollert nøkkel).
• CVE-2026-102143, CVSS 7.5 (høy): En uautentisert angriper kunne skrive filer til apparatet. Kiteworks oppgir et autentiseringsproblem samt CWE-306 og CWE-434 (ubegrenset opplasting av farlige filtyper).
• CVE-2026-102146, CVSS 6.5 (middels): En administrator kunne skrive vilkårlige filer. Kiteworks beskriver en rettighetsfeil; CVSS-metrikken krever høye rettigheter. Produsenten oppgir CWE-73 (ekstern kontroll av filnavn eller sti) og CWE-1336 (utilstrekkelig nøytralisering i en malmotor) som svakheter.
• CVE-2026-102144, CVSS 5.3 (middels): En angriper i nettverket kunne utløse tjenestenekt. Advisoryet oppgir manglende autentisering for kritiske funksjoner og ukontrollert ressursforbruk (CWE-306, CWE-400). Denne vurderingen forutsetter heller ikke rettigheter eller brukerinteraksjon.

For driftsansvarlige er konto-overtakelsen den viktigste rettingen, fordi den ifølge advisoryet er mulig uten en eksisterende konto. De to øvrige feilene uten innlogging gjelder også alle versjoner før 9.5.1. Produsentens advisories publiserer ingen tekniske detaljer om endepunkter, konfigurasjoner eller midlertidige løsninger.

Anbefalt fremgangsmåte

Oppgrader EPG til minst 9.5.1 dersom en eldre versjon brukes. Kiteworks oppgir uttrykkelig oppgradering til 9.5.1 eller nyere som tiltak i alle fire advisoryene. Dersom en nyere produsentversjon allerede er frigitt, oppfyller den også denne minimumsversjonen. Kiteworks har ikke publisert en offentlig oppgraderingssti, kjente problemer eller støttefrister for EPG 9.5.1 i de åpne kildene.