02-12-2009

Existen múltiples vulnerabilidades de seguridad en el procesador de documentos PDF del componente Attachment Service de BlackBerry Enterprise Server.

Sistemas afectados:

Versión 5.0.0 de BlackBerry Enterprise Server para Microsoft Windows Server 2003 o 2008
Versión 5.0.0 de BlackBerry Enterprise Server para Microsoft Windows Server 2000
Versiones 4.1 Service Pack 3 (4.1.3) a 4.1 Service Pack 7 (4.1.7) de BlackBerry Enterprise Server
Versiones 4.1 Service Pack 4 (4.1.4) de BlackBerry Professional Software

Riesgo:   Alto

Descripción:

Estas vulnerabilidades podrían permitir a un atacante malicioso enviar un mensaje de correo electrónico con un archivo PDF especialmente manipulado, que al abrirse para su visualización en un smartphone BlackBerry que esté asociado con una cuenta de usuario en un BlackBerry Enterprise Server, podría causar daños en la memoria y posiblemente provocar una Denegación de Servicio (DoS) o la ejecución de código con privilegios de SYSTEM en el equipo que aloja el componente de BlackBerry Attachment Service de BlackBerry Enterprise Server.

Solución:

Se recomienda actualizar a la última versión o aplicar los parches proporcionados por Research In Motion desde Interim Security Update o según versión:
 
Versión 5.0.0 de BlackBerry Enterprise Server para Microsoft Exchange e IBM Lotus Domino:
Actualizar a la versión 5.0.1 (o posterior) o aplicar Interim Security Update 3 para BlackBerry Enterprise Server versión 5.0.0
http://www.blackberry.com/go/serverdownloads
 
Versión 4.1.7 de BlackBerry Enterprise Server para Microsoft Exchange e IBM Lotus Domino:
Aplicar Interim Security Update 1 para BlackBerry Enterprise Server versión 4.1.7.
http://www.blackberry.com/go/serverdownloads
 
Versión 4.1.6 de BlackBerry Enterprise Server para Microsoft Exchange e IBM Lotus Domino:
Actualizar a BlackBerry Enterprise Server versión 4.1.6 MR8 o posterior.
http://www.blackberry.com/go/serverdownloads
 
Versión 4.1.6 de BlackBerry Enterprise Server para Novell GroupWise:
Actualizar a BlackBerry Enterprise Server versión 4.1.6 MR6 o posterior.
http://www.blackberry.com/go/serverdownloads
 
Versión 4.1.4 de BlackBerry Enterprise Server:
Actualizar a BlackBerry Enterprise Server versión 4.1.6 MR8 (o posterior), o aplicar Interim Security Update 5 para BlackBerry Enterprise Server versión 4.1.4.
http://www.blackberry.com/go/serverdownloads
 
Versiones de BlackBerry Professional:
Aplicar Interim Security Update 5 para las versiones de BlackBerry Professional.
http://na.blackberry.com/eng/support/downloads/#tab_professional

Referencias:

CVE-2009-2643

Más información:

http://www.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB19860
http://isc.sans.org/diary.html?storyid=7669
http://secunia.com/advisories/37562
http://www.us-cert.gov/current/index.html#research_in_motion_releases_advisory1
http://www.vupen.com/english/advisories/2009/1429
http://www.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB18327

Fuente:   Internet Storm Center http://isc.sans.org/