Компанията за софтуер за сигурно споделяне на файлове Kiteworks публикува актуализации за сигурност, за да отстрани 126 уязвимости, включително уязвимост с максимална степен на критичност, засягаща нейното решение за сигурност Email Protection Gateway (EPG).
EPG е компонент от Kiteworks Private Content Network (PCN), която интегрира корпоративна електронна поща, управляван трансфер на файлове (MFT), споделяне на файлове, API и уеб форми в една платформа.
Известна в миналото като Accellion, Kiteworks предоставя услуги на хиляди глобални корпорации и държавни агенции, а нейната мрежа Private Content Network има над 100 милиона крайни потребители.
Като част от същия пакет от корекции за сигурност Kiteworks отстрани и 11 критични уязвимости за заобикаляне на автентификацията, превземане на администраторски акаунти, съхранено крос-сайт скриптиране (XSS), неправилен контрол на достъпа и неправилна автентификация в компонентите Core и EPG.
Уязвимостта с максимална степен на критичност, проследявана като CVE-2026-54154, е докладвана чрез програмата за възнаграждение при намерени грешки (bug bounty) на Kiteworks в YesWeHack.
Успешното експлоатиране може да позволи на отдалечени атакуващи без привилегии да постигнат изпълнение на код и да поемат контрол върху засегнатото EPG устройство чрез експлоатиране на верига от уязвимости за обхождане на директории (path traversal), инжектиране на код и липсваща автентификация при атаки с ниска сложност, които не изискват взаимодействие с потребителя.
Пролуката засяга всички версии на Kiteworks Email Protection Gateway преди 9.4.1 и е коригирана във версии 9.4.1 или по-нови.
„Комбинация от грешки при обработката на входни данни в публично достъпни крайни точки на Kiteworks Email Protection Gateway потенциално позволяваше на неавтентикиран отдалечен атакуващ да постигне изпълнение на произволен код и чрез свързване на допълнителни локални слабости да ескалира привилегиите си до пълен администраторски (root) контрол над устройството“, обясни Kiteworks в бюлетин за сигурност от сряда.
Миналата седмица Kiteworks призова клиентите си да изключат сървърите си, след като получи оперативни данни за заплахи, предупреждаващи за потенциално предстояща кибератака от тип нулев ден.
Компанията отмени предупреждението за безопасност в понеделник, след като коригира критичната уязвимост и върна всички хоствани клиентски системи онлайн, като заяви, че не е открила доказателства за компрометиране или съмнителна активност. Въпреки това Kiteworks все още не е споделила допълнителни подробности за отстранената уязвимост и все още не е присвоила CVE ID за по-лесно проследяване.
Организацията за мониторинг на заплахи Shadowserver в момента проследява близо 400 инстанции на Kiteworks, достъпни в интернет, но не предоставя информация колко от тях вече са актуализирани или са клопки (honeypots).