Auto’s en medische apparaten liepen risico door lek bij Blackberry

Het ging daarbij onder meer over auto’s, medische toestellen en verschillende andere machines. Sommige oudere versies van Blackberry’s besturingssysteem QNX vertoonden problemen met het BadAlloc-gedeelte. Dat gaf hackers de mogelijkheid om de systemen vanop afstand aan te vallen. 

Risico geheimgehouden 

Eens binnengedrongen, zouden de hackers in theorie een denial-of-service-aanval kunnen uitvoeren of een stukje arbitraire code laten lopen. De Amerikaanse Food and Drug Administration (FDA), het Infrastructure Security Agency (CISA) en Blackberry zelf hebben verschillende adviezen uitgevaardigd om de kwetsbaarheden op te vangen. Volgens de nieuwssite Politico was Blackberry eerst wel niet van plan om het beveiligingslek publiek te maken. Het probleem werd maandenlang geheimgehouden. Tot nu. 

Het bedrijf zou aan het CISA verteld hebben dat het niet geloofde dat zijn besturingssysteem kwetsbaar zou zijn door BadAlloc. Dat is een groep van kwetsbare geheugenclusters waar Microsoft in april tegenaan liep. Die kunnen een impact hebben op een uiteenlopende netwerken in de industriële en medische sectoren.  

Lek toch gecommuniceerd 

Vlak na de publicatie van Microsofts rapport heeft een aantal bedrijven wel gecommuniceerd over het lek, in tegenstelling tot Blackberry. CISA maakte zich zorgen dat de meeste QNX-gebruikers niet eens op de hoogte zouden zijn van de kwetsbaarheid, omdat Blackberry het OS via licenties toekent aan fabrikanten.  

Het techbedrijf wilde in eerste instantie zijn klanten zelf op de hoogte brengen van het beveiligingslek. Maar, of die bedrijven op hun beurt eindgebruikers zouden inlichten, lag niet in Blackberry’s handen. Volgens Politico was het CISA dat kon bevestigen dat sommige oudere QNX-versies inderdaad kwetsbaar waren door het BadAlloc-geheugen. Het agentschap kon Blackberry uiteindelijk toch overtuigen om het probleem publiek te maken. 

In zijn mededeling heeft Blackberry laten weten dat het “zich niet bewust is van enig misbruik als gevolg van de kwetsbaarheid in het systeem”.