Blackberry lässt sich mit PDF-Attachements hacken

Der Smartphone-Hersteller Research in Motion (RIM) hat Informationen über eine Sicherheitslücke in seinem Blackberry Enterprise Server und der Blackberry Professional Software veröffentlicht, welche die Nutzer dringend stopfen sollten. Das Risiko wird mit der Note 9,3 auf der zehnstufigen Skala des Common Vulnerability Scoring System (CVSS) bewertet. Durch einen Fehler in der Software können Angreifer einen Blackberry-Server mit präparierten PDF-Dateien unter ihre Kontrolle bringen. Dadurch bricht die durchgehende Absicherung der Blackberry-Daten zusammen, mit der RIM seine Produkte immer anpreist.

"Die Daten lassen sich erst auf dem Handheld des bestimmungsgemäßen Empfängers entschlüsseln", hatte Jens Kühner, Director Sales & Technical Services bei RIM erklärt. "Alle privaten Keys für die Verschlüsselung werden jedem Benutzer individuell zugewiesen. Es existiert kein Masterkey und kein Mechanismen für Dritte, an den privaten Key heranzukommen - auch nicht für uns bei RIM." Kein Geheimdienst und keine Polizei kommt an diese Informationen heran, nur Computerkriminelle, wenn sie es richtig anstellen. Der Fehlerbericht von RIM meldet, dass die Sicherheitslücke im PDF-Distiller des Attachment-Dienstes offensteht.

Bei eingehenden E-Mails rechnet der Blackberry-Server die PDF-Attachements immer in ein neues Format um, damit sie sich schneller auf den RIM-Smartphones darstellen lassen. Der Fehler wird aber erst dann provoziert, wenn ein Anwender die manipulierte PDF-Datei auf seinem Blackberry öffnen will. Als erste Reaktion empfiehlt RIM, nur noch PDF-Attachements von vertrauenswürdigen Absendern zu öffnen. Für Administratoren haben sie eine Anleitung veröffentlicht, mit der sie automatische Konvertierung abschalten können. Danach lassen sich allerdings gar überhaupt keine PDF-Attachements mehr auf dem Blackberry anzeigen. Deswegen hat RIM auch zwei Sicherheitsupdates für den Blackberry Enterprise Server und die Blackberry Professional Software veröffentlicht.