RIM: Blackberry-Nutzer sollen JavaScript deaktivieren

Mit der Empfehlung reagiert der Hersteller auf die kürzlich entdeckte WebKit-Lücke. Angreifer erhalten dadurch Zugriff auf internen Speicher und Speicherkarte eines Blackberry. E-Mails und persönliche Daten im Blackberry-Dateisystem sind laut RIM sicher.

von Ryan Naraine und Stefan Beiersmann am 16. März 2011 , 09:52 Uhr

RIM hat seinen Nutzern empfohlen, JavaScript zu deaktivieren, um sich vor einer Schwachstelle im Blackberry-Browser zu schützen (Bild: RIM).

Research In Motion hat eine Behelfslösung für die in der vergangenen Woche bekannt gewordene Anfälligkeit im Blackberry-Browser veröffentlicht. Das Unternehmen rät betroffenen Kunden, JavaScript im Browser zu deaktivieren. Damit soll verhindert werden, dass Angreifer die Sicherheitslücke ausnutzen können.

Die Schwachstelle hatten die Sicherheitsforscher Vincenzo Iozzo, Ralf Philipp Weinmann und Willem Pinckaers auf der Hackerkonferenz Pwn2Own demonstriert. Sie nutzten sie, um die Kontrolle über ein Blackberry Torch 9800 mit der Firmwareversion 6.0 oder höher zu erlangen. Unter anderem speicherten sie eine Datei auf dem Handy und zeigten damit, dass Remote-Codeausführung möglich ist.

Laut einer Sicherheitswarnung des kanadischen Handyherstellers muss ein Angreifer sein Opfer auf eine präparierte Website locken, um die Lücke ausnutzen zu können. Auf diese Weise erhalte er Zugriff auf Nutzerdaten, die im internen Speicher oder auf einer Speicherkarte abgelegt sind. Im Dateisystem eines Blackberry-Smartphones hinterlegte Daten wie E-Mails und andere persönliche Informationen sind RIM zufolge jedoch sicher.

Der Blackberry-Hersteller weist darauf hin, dass der Fehler nicht in JavaScript selbst stecke. JavaScript werde aber benötigt, um einen Exploit ausführen zu können. Einen Zeitplan für die Veröffentlichung eines Updates hat das Unternehmen nicht genannt.

Die Lücke ist in allen Browsern enthalten, die auf der Browser-Engine WebKit basieren. Dazu gehören unter anderem Apple Safari und Google Chrome. Google hatte die Schwachstelle in Chrome 10 schon Ende vergangener Woche geschlossen.