RIM schließt fünf kritische Lücken in Blackberry Enterprise Server

Research In Motion hat einen Patch veröffentlicht, der fünf Sicherheitslücken in Blackberry Enterprise Server beseitigt. Sie lassen sich einer Sicherheitsmeldung zufolge dazu missbrauchen, Schadcode einzuschleusen und die Kontrolle über einen Blackberry-Server zu übernehmen.

Die Fehler stecken in der für das Rendering von PNG- und TIFF-Bildern verantwortlichen Komponente des Blackberry MDS Connection Service und des Blackberry Messaging Agent. Ein Angreifer müsste ein Opfer dazu bringen, in einer E-Mail oder einer Sofortnachricht auf einen Link zu klicken, der zu einer manipulierten Webseite führt. Laut RIM ist es außerdem möglich, eine manipulierte PNG- oder TIFF-Datei in eine E-Mail einzubauen und diese Nachricht an einen Nutzer eines Blackberry-Smartphones zu verschicken. In dem Fall müsse das Opfer weder eine E-Mail öffnen, noch auf einen Link klicken, damit ein Hacker Zugriff auf einen Blackberry-Server erhält.

Nach Herstellerangaben sind Blackberry Enterprise Server 5.0.1 bis 5.0.3 MR2 für Microsoft Exchange und IBM Lotus Domino sowie Blackberry Enterprise Server 4.1.7 und 5.0.1 bis 5.0.1 MR3 für Novell GroupWise anfällig. Das Update steht auch für Blackberry Enterprise Server Express 5.0.1 bis 5.0.3 für Microsoft Exchange und Blackberry Enterprise Server Express 5.0.2 und 5.0.3 für IBM Lotus Domino zur Verfügung. Die Smartphones des kanadischen Herstellers sowie das Betriebssystem Blackberry OS sind nicht betroffen.

Vor rund vier Wochen hatte RIM ein Datenleck in Blackberry Enterprise Server schließen müssen. Damals konnten Angreifer Dateien stehlen, die nur druckbare Zeichen enthalten. Der in einem binären Dateiformat vorliegende Nachrichtenspeicher ließ sich jedoch nicht ausspähen.