Une faille de BlackBerry Server Enterprise exploitée ?

Vupen Security a rendu public un exploit qui remettrait en cause la sécurité de la plate-forme de RIM. Une révélation exagérée selon certains experts.

Philippe Richard

01net.

le 26/01/10 à 12h45

laisser un avis

Coup de pub ou coup de maître ? Le 22 janvier, la société française Vupen Security, spécialisée dans les analyses de vulnérabilités, diffuse sur Twitter l'annonce du « premier exploit » visant BlackBerry Enterprise Server (BES). Un exploit est un programme permettant d'exploiter une ou des failles de sécurité. Corrigée le 2 décembre dernier, la faille en question concernait les versions 4.1 (Service Pack 3) et 5.0 de BlackBerry Enterprise Server Software et BlackBerry Professional Software 4.1 (Service Pack 4).

Pour Vupen Security, cet exploit est justifié : « Même s'il y a eu déjà des travaux théoriques sur la sécurité des serveurs RIM, il n'existait pas jusque-là d'outils de sécurité permettant aux entreprises et aux administrations d'évaluer la vulnérabilité de leurs serveurs », nous a précisé Chaouki Bekrar, PDG de Vupen Security.

Pas de menaces

Pour différents experts, cette publication n'est pas une surprise et ce ne serait d'ailleurs pas le premier exploit visant BES (le premier, datant de juin 2005, est dû à Imad Lahoud, d'EADS Corporate Research Center, connu par le grand public depuis l'affaire Clearstream). Nicolas Ruff, expert en sécurité au centre de recherche d'EADS (European Aeronautic Defense and Space), rappelle que « RIM a une base de code ancienne et prolifique (par exemple leur serveur va convertir toute sorte de documents bureautiques dans une version lisible sur smartphone). Il y a eu des bugs et il y en aura. Certains d'entre eux sont effectivement des failles de sécurité car ils permettent de prendre le contrôle à distance d'un serveur BES et donc d'accéder à l'intégralité de la messagerie de l'entreprise visée. »

Pour Hervé Schauer, du cabinet de sécurité HSC, « il n'y a pas plus de menaces qu'avant. Ce sont des problèmes déjà connus et référencés ». Les entreprises ne doivent pas être inquiètes. Mais pour Thomas Gayet, directeur-adjoint CERT-Lexsi (Laboratoire d'expertise en sécurité Informatique), la publication de cet exploit doit leur rappeler de rester vigilantes : « Quand des failles concernant BES sont rendues publiques, il faut appliquer rapidement les correctifs fournis par RIM. Le plus inquiétant n'est pas l'exploit publié par Vupen Security, ce sont ceux développés par des tiers (pirates, chercheurs, Etats, etc.) mais qui ne sont pas rendus publics... » Mais pour Nicolas Ruff, « la volonté de vendre cet exploit comme utile au test d'intrusion, alors que tout le monde sait que la faille existe puisqu'elle est documentée sur le site de RIM, est malhonnête. Avoir un code d'exploitation fonctionnel ne sert qu'à pirater des entreprises ».