Quarta-feira, 04 de novembro de 2009 – Usuários dos smartphones BlackBerry que possuírem o aplicativo Desktop Manager instalado em seus PCs que rodem Windows – ou Mac emulando máquina virtual Windows – devem atualizar suas versões imediatamente, de acordo com a RIM.
Toda e qualquer versão do BlackBerry Desktop Manager anterior a 5.0.1 contém uma falha de segurança que permite execução remota de códigos maliciosos nos computadores dos usuários desavisados, alega a RIM.
Diretamente de um aviso de segurança da RIM postado ontem:
“If the malicious user performs an attack designed to decieve [sic] the legitimate user into clicking a link to a web site that appears to be from a trusted source, and the legitimate user chooses to access that site from the computer that is running the BlackBerry Desktop Manager, the user might be deceived into browsing to a web page that the malicious user has designed to perform remote code execution using the legitimate user’s privileges on the computer.
The BlackBerry Desktop Manager does not need to be running for a malicious user to exploit this vulnerability.”
Resumindo: Se visitar um site desconhecido ou não confiável e houver algum código malicioso nele, ações podem ser realizadas remotamente de acordo com o privilégio do usuário em uso no microcomputador e o Desktop Manager nem precisa estar sendo executado para que essa falha seja explorada! Ou seja, parece que a RIM ficou com inveja das inúmeras falhas críticas de segurança da Microsoft e resolveu correr atrás do prejuízo. Esperemos que não vire um (mau) hábito.
A vulnerabilidade é crítica e atinge 9.3 pontos (numa escala de 10) de acordo com a Common Vulnerability Scoring System (CVSS), órgão do Governo Americano dedicado a classificar vulnerabilidades.
O problema está especificamente no componente Lotus Notes Intellisync DLL incluído em todas as instalações do Desktop Manager.
A RIM já liberou uma atualização do software para eliminar a vulnerabilidade, e os usuários poderão ser notificados pelo próprio Desktop Manager, dependendo da versão do software que esteja instalada. Se você não foi notificado ou decidiu não atualizar imediatamente, deve fazer o download e instalar a versão mais atualizada do BlackBerry Desktop Manager no site da RIM.
A RIM informou ainda um procedimento para contornar temporariamente o problema: Desabilitar a funcionalidade da DLL que é explorada na falha de segurança. Como? Cancelando o registro da DLL através do comando:
regsvr32 /u “C:\Program Files\Research In Motion\BlackBerry\IS71 Connectors\Lotus Notes5.0\lnsresobject.dll”
A versão para Macintosh do Desktop Software não aparenta conter a falha.
Informações adicionais podem ser obtidas no site da RIM.
