Kiteworks hat die vorsorgliche Empfehlung zur Abschaltung der Systeme aufgehoben, nachdem eine kritische Schwachstelle in einer von weniger als 1 % der Kunden genutzten Funktion behoben wurde. Das Unternehmen betonte, dass kein Einbruch oder Exploit festgestellt worden sei. Details zur Schwachstelle oder die zugehörige CVE-Nummer hat das Unternehmen bislang nicht offengelegt.
Kiteworks hat die gehosteten Kundensysteme wieder in Betrieb genommen und seine Empfehlung zur Abschaltung der Server aufgehoben, nachdem ein Fix für eine kritische Schwachstelle in einer Funktion seiner Plattform entwickelt worden war. Das Unternehmen erklärte, keine Beweise für einen Einbruch in eines seiner Systeme oder in Systeme seiner Kunden gefunden zu haben. Auch während des Überwachungszeitraums sei keine verdächtige Aktivität festgestellt worden.
Am Samstag hatte das Unternehmen Kunden weltweit aufgefordert, ihre Kiteworks-Server vorübergehend abzuschalten, nachdem es von föderalen Nachrichtendienstbehörden vor einem möglichen unmittelbar bevorstehenden Cyberangriff gewarnt worden war. Am 27. September erklärte es, dass die Abschaltempfehlung nicht mehr gelte, und forderte Kunden, die den Betrieb noch nicht wieder aufgenommen hatten, dazu auf, ihre Systeme wieder in Betrieb zu nehmen.
Was hat das Unternehmen behoben?
Kiteworks erklärte, eine kritische Schwachstelle in einer nicht näher bezeichneten Funktion behoben zu haben, die von weniger als 1 % seiner gesamten Kunden genutzt werde. Außerdem habe das Unternehmen eine zusätzliche Schutzschicht zu allen Umgebungen hinzugefügt. Alle anderen Produkte seien nicht betroffen, und es gebe keine Hinweise darauf, dass die Schwachstelle tatsächlich ausgenutzt worden sei.
Kunden, die eine selbstverwaltete Version von Kiteworks Advanced Forms hosten, müssen sich an den Support des Unternehmens wenden, um die erforderliche Unterstützung zu erhalten. Die gehosteten Systeme nahm das Unternehmen nach Abschluss der Behebungs- und Überwachungsmaßnahmen wieder in Betrieb.
Warum ist diese Nachricht wichtig?
Kiteworks betreibt ein privates Content-Netzwerk, das Unternehmens-E-Mail, Dateifreigabe, verwaltete Dateiübertragung, APIs und Webformulare zusammenführt. Die Plattform bedient Tausende Unternehmen und Behörden mit mehr als 100 Millionen Nutzern ihres privaten Datennetzwerks. Dadurch hat die vorsorgliche Abschaltung weitreichende betriebliche Auswirkungen, selbst wenn die betroffene Funktion nur von einem kleinen Anteil der Kunden genutzt wird.
Der Vorfall ist auch deshalb von besonderer Bedeutung, weil Plattformen zur Dateiablage und -übertragung üblicherweise mit sensiblen Dokumenten umgehen und in der Vergangenheit Ziel von Datendiebstahl- und Erpressungsangriffen waren. Zudem steht der Name des Unternehmens in Verbindung mit der Geschichte von Accellion, unter deren Namen Kiteworks früher bekannt war, sowie mit einer Kampagne, bei der die Clop-Bande Schwachstellen in der alten File Transfer Appliance ausnutzte und dadurch Einbrüche bei mehreren Behörden und Unternehmen verursachte.
Was ist weiterhin unbekannt?
Kiteworks hat keine Einzelheiten zu der behobenen Schwachstelle veröffentlicht. Ihr wurde bislang auch keine CVE-Nummer zugewiesen, die eine Nachverfolgung und Überprüfung ihrer Aktualisierungen erleichtern würde. Außerdem identifizierte Shadowserver nahezu 400 über das Internet erreichbare Kiteworks-Instanzen, darunter 234 in den Vereinigten Staaten, ohne anzugeben, wie viele Systeme aktualisiert wurden oder Honeypots darstellen.
Redaktionelle Einordnung: Der wichtigste Schritt besteht hier darin, dass Kiteworks von einer umfassenden Abschaltempfehlung zu einer Wiederinbetriebnahme übergegangen ist, die an einen zentralen Fix und eine kontinuierliche Überwachung geknüpft ist, und nicht in der Bekanntgabe eines bestätigten Einbruchs. Das Fehlen technischer Details und einer CVE-Nummer schränkt jedoch die Möglichkeit der Sicherheitsteams ein, das Ausmaß des Risikos unabhängig zu überprüfen. Daher bleiben die Überprüfung selbstverwalteter Versionen und die Kontaktaufnahme mit dem Support für betroffene Kunden vorrangig.