Ein Sicherheitsbericht des CERT-Bund weist darauf hin, dass in der BlackBerry UEM Management Console mehrere Schwachstellen entdeckt wurden, die Angreifern das Ausführen von Cross‑Site‑Scripting (XSS), das Herbeiführen von Denial‑of‑Service‑Angriffen (DoS) sowie das unbefugte Offenlegen von Informationen ermöglichen.
Cross‑Site‑Scripting‑Problem
Die erste Schwachstelle betrifft die Verarbeitung von Benutzereingaben in der Weboberfläche. Durch das Einschleusen von manipuliertem JavaScript‑Code kann ein Angreifer Skripte im Kontext des Administrators ausführen, wodurch Sitzungs‑Cookies oder weitere vertrauliche Daten abgegriffen werden können.
Denial‑of‑Service‑Risiko
Eine zweite Lücke erlaubt es, speziell formatierte Anfragen an die Management Console zu senden, die zu einer Überlastung des Dienstes führen. Der resultierende DoS‑Zustand macht die Konsole für legitime Administratoren vorübergehend nicht erreichbar.
Informationsoffenlegung
Die dritte Schwachstelle ermöglicht das Abrufen interner Systeminformationen, die ohne Authentifizierung einsehbar sind. Dazu zählen Konfigurationsdetails und teilweise sensible Daten, die Angreifern Einblicke in die Netzwerkumgebung geben.
Auswirkungen auf Nutzer
Organisationen, die BlackBerry UEM zur Verwaltung mobiler Endgeräte einsetzen, könnten bei Ausnutzung dieser Schwachstellen einer erhöhten Gefahr ausgesetzt sein. Ein erfolgreicher XSS‑Angriff kann die Integrität von Administrationssitzungen gefährden, während ein DoS‑Angriff den Zugriff auf zentrale Verwaltungsfunktionen unterbricht.
Empfohlene Gegenmaßnahmen
Der CERT-Bund empfiehlt, die von BlackBerry bereitgestellten Sicherheitspatches umgehend zu installieren, den Zugriff auf die Management Console auf vertrauenswürdige Netzwerksegmente zu beschränken und regelmäßige Log‑Analysen durchzuführen, um verdächtige Aktivitäten frühzeitig zu erkennen.
Hinweis zur Quelle
Die Informationen stammen aus der Sicherheitsberatung des CERT‑Bund, veröffentlicht unter der Kennung WID‑SEC‑2026‑2565.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung