Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
14/04/2011
Por una parte, se han publicado varias vulnerabilidades provocadas por el servidor Apache Tomcat, usado por el servicio BlackBerry Administration, que pueden ser explotadas para obtener información confidencial, manipular datos del servidor y provocar denegaciones de servicio (DoS) en el mismo.
Por otro lado, se han anunciado otro fallo en el manejo y validación de ciertas entradas en BlackBerry Web Desktop Manager ante de responder al usuario. Este error puede ser explotado por atacantes para realizar ataques de tipo Cross-Site Scripting, haciendo que el navegador del usuario ejecute código Script o HTML malicioso.
Las versiones afectadas por el fallo en Apache Tomcat son:
Las versiones de BlackBerry Enterprise Server Express entre la 5.0.1 y la 5.0.2 MR1 para MS Exchange
La versión 5.0.2 de BlackBerry Enterprise Server Express para Lotus Domino
Las versiones de BlackBerry Enterprise Server entre la 4.1.4 y la 5.0.2 MR1 para MS Exchange
Las versiones de BlackBerry Enterprise Server entre la 4.1.4 y la 5.0.2 para Lotus Domino
Las versiones de BlackBerry Enterprise Server entre la 4.1.4 y la 5.0.1 para GroupWise
Las versiones afectadas por la vulnerabilidad de XSS son:
La versión 5.0.1 de BlackBerry Enterprise Server Express para MS Exchange
La versión 5.0.2 de BlackBerry Enterprise Server Express para MS Exchange
La versión 5.0.2 de BlackBerry Enterprise Server Express para Lotus Domino
Las versiones de BlackBerry Enterprise Server entre la 5.0.0 y la 5.0.3 para MS Exchange
Las versiones de BlackBerry Enterprise Server entre la 5.0.0 y la 5.0.3 para Lotus Domino
La versión 5.0.1 de BlackBerry Enterprise Server para GroupWise
CVE-2007-1858, CVE-2007-3385, CVE-2007-5333, CVE-2008-1678, CVE-2008-5515, CVE-2009-3555, CVE-2010-2227, CVE-2011-0286
Solución:Para succionar las vulnerabilidades provocadas por Apache Tomcat, aplicar el parche indicado en:
http://www.blackberry.com/btsc/KB25966
Para el problema de XSS, aplicar el parche que se muestra en:
http://www.blackberry.com/btsc/KB26296
http://www.blackberry.com/btsc/KB25966
http://www.blackberry.com/btsc/KB26296
http://www.vupen.com/english/advisories/2011/0971
http://www.vupen.com/english/advisories/2011/0972
http://secunia.com/advisories/44166/
http://secunia.com/advisories/44183/