BlackBerry Desktop Managerに任意のコードが実行される脆弱性

　Research in Motion（RIM）は同社のBlackBerry Desktop Managerに存在するセキュリティホールを修正するパッチを公開した。

　この脆弱性はBlackBerry Desktop Managerが使っているLotus Notes Intellisync DLLに存在するもので、悪意を持ったユーザーがソーシャルエンジニアリングを通じて、BlackBerry Desktop Managerを実行しているコンピュータ上で遠隔からコードを実行することができるというものだ。

　RIMのアドバイザリでは以下のように説明されている。

　正規の（ログインしている）ユーザーが、（例えば、メールメッセージ中、ブラウザ、インスタントメッセージなどに含まれている）悪意を持って作成されたウェブサイトのリンクを、BlackBerry Desktop Managerを実行しているコンピュータ上でクリックすると、Intellisyncコンポーネント内に存在する脆弱性によって、悪意を持ってそのリンクを送った、あるいは悪意のあるウェブサイトを作成したユーザーに、そのコンピュータ上で正規ユーザーの特権でコードを実行される可能性がある。

　このセキュリティホールの影響を受けるのは、BlackBerry Desktop Softwareバージョン5.0およびそれ以前のバージョンとなっている（すべてのプラットフォームに影響がある）。この脆弱性の深刻度（CVSS）は9.3となっている。

　このパッチに加え、RIMはいくつかの緩和策を提供している。

• Lotus Notes Intellisyncの機能を必要としていない場合は、これを無効にしておくことで、悪意を持ったユーザーがこの脆弱性を悪用するのを防ぐことができる。
• RIMはユーザーに対し、信頼できない情報源から受け取ったリンクや、ブラウザ内の信頼できないウェブサイトへのリンクをクリックする際には十分に注意を払うことを推奨する。