Fontos javítást kapott a BlackBerry Enterprise Server

A RIM arra hívta fel a figyelmet, hogy a BlackBerry Enterprise Server (BES) súlyos képkezelési sebezhetőségeket tartalmaz, amelyek viszonylag egyszerűen kihasználhatóak, és komoly károk forrásául szolgálhatnak. Ezért a szerveralkalmazás minél előbbi frissítését javasolta a szervezetek számára.

A RIM fejlesztői által elérhetővé tett patch-ek telepítésére a BES Exchange, Lotus Domino és Novell GroupWise kompatibilis verzióinak esetében is szükség van. A sérülékenységek a BlackBerry MDS Connection Service és a BlackBerry Messaging Agent kapcsán merültek fel. A több kockázatot rejtő hibát az utóbbi összetevő tartalmazza. A sebezhetőség kihasználásához ugyanis a támadóknak nincs más dolguk, mint speciálisan szerkesztett PNG vagy TIFF formátumú képeket beilleszteni az üzeneteikbe, majd azokat elküldeni a kiszemelt felhasználóknak. Ráadásul arra sincs szükség, hogy a címzett megnyissa az e-mailt, illetve abban rákattintson képekre vagy különféle hivatkozásokra.

Amennyiben a támadóknak sikerül a saját javukra fordítaniuk a biztonsági réseket, akkor közvetlenül a Blackberry Enterprise Servert futtató kiszolgálókat vehetik célba, amelyeken bizonyos esetekben tetszőleges kódokat futtathatnak, vagy a rendszerek összeomlását idézhetik elő. A RIM szerint az érintett szolgáltatásokhoz tartozó jogosultságok és hálózati konfigurációk függvényében az is elképzelhető, hogy a támadók a Blackberry Enterprise Serveren keresztül további kiszolgálókhoz szereznek hozzáférést.

"Nagyon fontos hangsúlyozni, hogy ezek a sebezhetőségek nem a BlackBerry okostelefonokban találhatók. Ahogy az a korábbi BlackBerry sérülékenységekről is elmondható volt, most is igaz, hogy a potenciális támadások a BlackBerry Enterprise Servert veszélyeztetik, és nem közvetlenül a készülékeket" - vélekedett Graham Cluley, a Sophos biztonsági szakértője.

A RIM azon szervezetek számára, amelyek valamilyen oknál fogva nem tudják rövid időn belül frissíteni a rendszereiket, azt tanácsolta, hogy a BES-ben elérhető policy-k segítségével - a kockáztok mérlegelését követően - korlátozzák a képeket tartalmazó üzenetek feldolgozását.