Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- BlackBerry Enterprise Server 4.1.6 pour Microsoft Exchange, IBM Lotus Domino et Novell GroupWise ;
- BlackBerry Enterprise Server 4.1.7 pour Microsoft Exchange, IBM Lotus Domino et Novell GroupWise ;
- BlackBerry Enterprise Server 5.0.0 pour Microsoft Exchange et IBM Lotus Domino ;
- BlackBerry Enterprise Server 5.0.1 pour Microsoft Exchange, IBM Lotus Domino et Novell GroupWise ;
- BlackBerry Enterprise Server 5.0.2 pour Microsoft Exchange et IBM Lotus Domino ;
- BlackBerry Enterprise Server Express 5.0.2 pour Microsoft Exchange ;
Résumé
Une vulnérabilité permettant l'exécution de code arbitraire à distance et concernant le composant BlackBerry Attachment Service du BlackBerry Enterprise Server a été corrigée.
Description
Lorsqu'un utilisateur de BlackBerry ouvre ou visualise un fichier au format PDF, ce dernier est pré-traité par le composant PDF Distiller situé sur le serveur BlackBerry Enterprise. Une vulnérabilité de ce module permet l'exécution de code arbitraire sur le serveur au moyen d'un fichier PDF spécialement conçu. Un utilisateur qui reçoit ce fichier PDF en pièce jointe à un mèl ou le télécharge sur un site Web déclenchera le code malicieux en tentant de le visualiser.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité BlackBerry KB24547 du 13 octobre 2010 http://www.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB24547
- Référence CVE CVE-2010-2601 https://www.cve.org/CVERecord?id=CVE-2010-2601
