Er is een serieuze kwetsbaarheid gevonden in het onderdeel van de BlackBerry Enterprise Server (BES) dat verantwoordelijk is voor het verwerken van TIFF afbeeldingen. Het beveiligingslek heeft een CVSS score 10.0 gekregen, de hoogst mogelijke waarde.
Met behulp van een speciaal gemaakt afbeeldingbestand is het mogelijk om willekeurige code uit te voeren op de server waarop BES draait. Doordat de code wordt uitgevoerd met de rechten van het BES server account, zijn andere delen van het netwerk mogelijk ook te benaderen.
Om de kwetsbaarheid te misbruiken is het voldoende om de speciale afbeelding met kwaadaardige code aan een willekeurige BlackBerry gebruiker in de organisatie te sturen via email of enterprise instant messenger. De gebruiker hoeft de email of bericht hierbij niet te openen, omdat de kwaadaardige code direct op de server wordt uitgevoerd na ontvangst. Ook is het mogelijk om deze kwetsbaarheid te misbruiken door een BlackBerry gebruiker naar een webpagina te lokken waarop de afbeelding staat.
De kwetsbaarheid is aanwezig in zowel BlackBerry Enterprise Server (BES) als in de small business versie BES Express. Het beveiligingslek is op 12 februari gepubliceerd door RIM als knowledge base artikel BSRT-2013-003, en is opgenomen als CVE-2012-2088 en CVE-2012-4447.
BlackBerry leverancier RIM heeft nog geen signalen gehad dat klanten zijn aangevallen. Wel adviseren zij klanten om zo snel als mogelijk een update uit te voeren naar een tussentijdse release, BlackBerry Enterprise Server version 5.0.4 MR2. RIM beschrijft ook een tijdelijke workaround in het knowledge base artikel.