heise berichtet über eine neue Sicherheitslücke im Blackberry Enterprise Server:
heise online – Einbruch in BlackBerry-Server durch Bilder
Interessantes Detail aus der Technote:
To exploit these vulnerabilities in how the BlackBerry Messaging Agent processes PNG and TIFF images, an attacker would need to embed specially crafted PNG and TIFF images in an email message and send the message to the BlackBerry smartphone user. The user does not need to click a link or an image, or view the email message, for the attack to succeed in this scenario.
Eine simple, entsprechend vorbereitete Mail an irgendeinen Blackberry-Benutzer reicht, um Code auf einem Server auszuführen, der in der Regel ohne Firewall-Absicherung direkt im LAN hängt.
Zur Abwechslung ist dieses Mal nicht die PDF-Umsetzung betroffen. Ich frage mich, wie lange RIM noch das Image genießt, “sicherer” zu sein als Alternativen wie z.B. die iPhone-Anbindung mit Lotus Notes Traveler. Was bringen Endgeräte-Richtlinien, wenn mit einer Mail der Server kompromittiert werden kann?
Als Lösung gibt es einen Interim Fix von RIM bzw. das 5.0.3 MR3. Das allerdings hat so seine eigenen Probleme, wie wir schon erfahren mussten.