Kiteworks Email Protection Gateway: Unzureichende Authentifizierung im Verwaltungsdienst
Zusammenfassung
Ein Verwaltungsdienst im Kiteworks Email Protection Gateway erzwingt die Administrator-Authentifizierung nicht konsistent, sodass die Passwortprüfung umgangen werden kann. Ein entfernter, nicht authentifizierter Angreifer, der ein gültiges Administratorkonto referenziert, könnte interne Benutzer und verwaltete Domänen erstellen, ändern oder löschen sowie Sicherheitseinstellungen verändern. Das Löschen einer verwalteten Domäne entfernt zudem deren Benutzerkonten und kann Administratoren vom Gateway aussperren.
Betroffen
- Kiteworks Email Protection Gateway Versionen vor 9.5.0
Behoben in
- Behoben in 9.5.0 (Herstellerhinweis GHSA-wwv8-qhqg-4q76)
- Der Hersteller nennt zusätzlich Korrekturen in 9.5.1; die neueste Herstellerversion sollte verwendet werden
Umgehung
Unbekannt. Der Herstellerhinweis beschreibt keine Umgehungslösung; das Einspielen des Patches ist die vorgesehene Massnahme.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine bestätigte Ausnutzung dieser CVE gemeldet
- Kein öffentlicher Proof of Concept bekannt
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
Unsere Empfehlung
- Installierte EPG-Version prüfen; Versionen unter 9.5.0 sind betroffen
- Auf die neueste Herstellerversion aktualisieren, einschliesslich des Pakets 9.5.1
- Internetzugriff auf die administrativen und webbasierten Oberflächen des EPG entfernen oder einschränken
- Administratorbenutzer, verwaltete Domänen und Sicherheitseinstellungen auf unerwartete Änderungen prüfen
- Konfiguration vor dem Upgrade sichern
- Dringend behandeln, wenn die Verwaltungsoberfläche aus unsicheren Netzen erreichbar ist (CVSS 9.1, CWE-287)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-wwv8-qhqg-4q76 github.com
- CISA CSAF advisory VA-26-274-01 raw.githubusercontent.com
- OpenCVE CVE-2026-102106 app.opencve.io
- Strix CVE-2026-102106 www.strix.ai
- Kiteworks lifts shutdown warning after patching critical flaw (BleepingComputer) www.bleepingcomputer.com
- Kiteworks vulnerabilities (SecurityOnline) securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.