Ejecución remota de código en BlackBerry Enterprise Server

^L

os CVE de las vulnerabilidades, identificados con una puntuación CVSS de 10.0 (críticos), son: CVE-2010-1205, CVE-2010-3087, CVE-2010-2595, CVE-2011-0192 y CVE-2011-1167.

Las vulnerabilidades afectan a dos componentes principalmente:

* Servicio de conexión BlackBerry MDS que gestiona las conexiones TCP/IP y HTTP entre aplicaciones BlackBerry, tanto si residen en servidores empresariales, Web o de bases de datos. La vulnerabilidad se activaría al procesar las imágenes TIFF o PNG especialmente manipuladas incluidas en una página web.

* Agente BlackBerry Messaging encargado de la gestión del correo electrónico. El agravante en este caso es que no haría falta la interactuación del usuario, ni siquiera abrir un email, para explotar la vulnerabilidad. El código malicioso se ejecutará automáticamente ya que previamente el agente lo procesa en la recepción y se activa al cargar las imágenes TIFF o PNG especialmente manipuladas.

La actualización corrige dichas vulnerabilidades con una nueva versión de la librería 'image.dll' para las ediciones de Enterprise Server afectadas:

* BlackBerry Enterprise Server Express versión 5.0.1 a 5.0.3 para Microsoft Exchange
* BlackBerry Enterprise Server Express versión 5.0.2 y 5.0.3 para IBM Lotus Domino
* BlackBerry Enterprise Server versión 5.0.1 y 5.0.2 para Microsoft Exchange y IBM Lotus Domino
* BlackBerry Enterprise Server versión 5.0.3 para Microsoft Exchange y IBM Lotus Domino
* BlackBerry Enterprise Server versión 4.1.7 para Novell GroupWise
* BlackBerry Enterprise Server versión 5.0.1 para Novell GroupWise

Dada la diversidad de versiones y sistemas de correo afectados (Microsoft Exchange, IBM Lotus Domino y Novell GroupWise), se recomienda consultar el aviso publicado en:
btsc.webapps.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB27244
y descargar la actualización correspondiente.