Kritische Lücke in BlackBerry Enterprise Server [Update]

Präparierte PDF-Dateien können nach Angaben des BlackBerry-Herstellers RIM dazu führen, dass ein Angreifer einen BlackBerry-Server unter seine Kontrolle bekommt. Laut Fehlerbericht steckt der Fehler im PDF-Distiller des Attachment-Dienstes, der PDF-Dokumente in einer E-Mail auf dem Server so aufbereitet, dass ein BlackBerry-Anwender dies auf seinem Gerät anzeigen kann. Der Fehler wird aber erst provoziert, wenn ein Anwender das PDF auf seinem BlackBerry-Handheld öffnen will.

Genauere Angaben zur Natur des Fehlers macht BlackBerry nicht, es lässt sich auf diese Weise aber Code in den Server schleusen und starten. Betroffen sind der BlackBerry Enterprise Server 4.1 Service Pack 3 (4.1.3) bis 4.1 Service Pack 5 (4.1.5) sowie BlackBerry Unite! vor 1.0 Service Pack 1 (1.0.1) Bundle 36. Während das Problem für BlackBerry Unite ab Bundle 36 erledigt ist, gibt es für den Enterprise Server nach Herstellerangaben noch keinen Patch oder ein Update.

Als Workaround empfiehlt RIM, die Verarbeitung von PDFs im Attachment Service einfach zu deaktivieren. Eine genaue Anleitung ist im unten verlinkten Fehlerbericht zu finden. Da RIM für die Sicherheitslücke im Common Vulnerability Scoring System (CVSS) einen Wert von 9.0 von 10 angibt, sollten Administratoren schnell handeln.

[Update] RIM hat ein Interims-Update 4.1 Service Pack 6 (4.1.6) für den BlackBerry-Server veröffentlicht. Bislang soll es nach Angaben keinerlei Berichte von Unternehmen über tatsächlich aufgetretene Problemegeben, die auf diese Schwachstelle hätten zurückgeführt werden können. [/Update]

Siehe dazu auch:

• Vulnerability in the PDF distiller of the BlackBerry Attachment Service for BlackBerry Unite, Fehlerbericht von RIM

• Vulnerability in the PDF distiller of the BlackBerry Attachment Service for the BlackBerry Enterprise Server, Fehlerbericht von RIM

(dab)