Kiteworks EPG 9.5.1: Fyra offentligt dokumenterade säkerhetskorrigeringar

Kiteworks fortsätter den tidigare totemo-tekniken som Email Protection Gateway (EPG). Version 9.5.1 var senast den 25 september 2026 den aktuella Kiteworks-versionen; tillverkaren anger inget offentligt publiceringsdatum. Tillverkarens advisories, som publicerades den 30 september, dokumenterar fyra korrigeringar för EPG 9.5.1: ett kontoövertagande, två oautentiserade fel för att skriva filer respektive utlösa en Denial of Service samt ett fel som tillät administratörer att skriva godtyckliga filer. Klassificeringen för totemomail-versionen med samma namn finns i artikeln om totemomail 9.5.1.

Versionerna i översikt

Säkerhetskorrigeringar i 9.5.1

Enligt Kiteworks berör alla fyra advisories samtliga EPG-versioner före 9.5.1 och anger 9.5.1 som korrigerad version. Advisories publicerades den 30 september 2026. De beskriver i efterhand säkerhetsstatusen för releasen, inte dess exakta publiceringsdatum.

• CVE-2026-102149, CVSS 9.4 (kritisk): En svaghet i åtkomstkontrollen kunde ge en angripare åtkomst till användarkonton via nätverket. CVSS-bedömningen förutsätter varken behörigheter eller användarinteraktion. Kiteworks klassificerar orsaken som CWE-306 (saknad autentisering för kritiska funktioner) och CWE-639 (kringgående av auktorisering via en användarkontrollerad nyckel).
• CVE-2026-102143, CVSS 7.5 (hög): En oautentiserad angripare kunde skriva filer till appliance-enheten. Kiteworks nämner ett autentiseringsproblem samt CWE-306 och CWE-434 (obegränsad uppladdning av farliga filtyper).
• CVE-2026-102146, CVSS 6.5 (medel): En administratör kunde skriva godtyckliga filer. Kiteworks beskriver ett behörighetsfel; CVSS-måttet kräver höga behörigheter. Tillverkaren anger CWE-73 (extern kontroll av filnamn eller sökväg) och CWE-1336 (otillräcklig neutralisering i en Template Engine) som svagheter.
• CVE-2026-102144, CVSS 5.3 (medel): En angripare i nätverket kunde utlösa en Denial of Service. Advisoret nämner saknad autentisering för kritiska funktioner och okontrollerad resursförbrukning (CWE-306, CWE-400). Inte heller denna bedömning förutsätter behörigheter eller användarinteraktion.

För operatörer är kontoövertagandet den prioriterade korrigeringen, eftersom det enligt advisoret är möjligt utan ett befintligt konto. De två andra felen utan inloggning berör också alla versioner före 9.5.1. Tillverkarens advisories publicerar inga tekniska detaljer om slutpunkter, konfigurationer eller tillfälliga lösningar.

Rekommenderat tillvägagångssätt

Uppdatera EPG till minst 9.5.1 om en äldre version används. Kiteworks anger uttryckligen uppgradering till 9.5.1 eller senare som åtgärd för alla fyra advisories. Om en senare tillverkarversion redan har godkänts uppfyller den också denna minimiversion. Kiteworks har inte publicerat någon offentlig uppdateringsväg, kända problem eller supportfrister för EPG 9.5.1 i de öppnade källorna.