Kiteworks patches max severity code injection vulnerability
Mis à jour :
Sécurisation critique des solutions Kiteworks : correctifs massifs pour l’Email Protection Gateway
Kiteworks a publié une mise à jour majeure pour corriger 126 vulnérabilités affectant ses solutions de partage de fichiers et de sécurité. Ces correctifs visent principalement la passerelle de protection des e-mails (EPG) et les composants centraux de sa plateforme.
Points clés :
- Vulnérabilité majeure : Une faille de gravité maximale permet à un attaquant distant non authentifié de prendre le contrôle total (accès root) de l’appliance EPG.
- Impact : L’exploitation ne nécessite aucune interaction utilisateur et repose sur une chaîne d’attaques combinant traversée de répertoire, injection de code et absence d’authentification.
- Contexte : Kiteworks a récemment demandé aux clients d’éteindre préventivement leurs serveurs face à une menace imminente, avant de confirmer l’absence de compromission suite à l’application des correctifs.
Vulnérabilités identifiées :
- CVE-2026-54154 : Faille critique d’injection de code dans l’Email Protection Gateway (EPG).
- Autres vulnérabilités : 11 failles critiques incluant le contournement d’authentification, la prise de contrôle de comptes administrateur, le Cross-Site Scripting (XSS) stocké et des erreurs de contrôle d’accès.
Recommandations :
- Mise à jour immédiate : Appliquer impérativement la version 9.4.1 ou supérieure de l’Email Protection Gateway.
- Audit : Vérifier l’exposition des instances Kiteworks connectées à Internet pour s’assurer qu’elles bénéficient bien des derniers correctifs de sécurité fournis par l’éditeur.