Ledgerが脆弱性の詳細を開示：画面表示のパラメータが最終署名パラメータと一致しない可能性がある

BlockBeats ニュース、8月28日、Ledger は昨日公式サイトで LSB 023 セキュリティ脆弱性の詳細を開示した。Ledger Secure SDK に基づいて構築された一部のアプリケーションでは、ユーザーが画面確認を行っている間にも新しい APDU 命令を受信する可能性があり、画面に表示されるパラメータと最終的な署名パラメータが一致しない原因となる。攻撃者がデバイスとホスト間の APDU 通信を制御する場合、ユーザーが確認画面で操作を承認した後、デバイスが異なるパラメータに対して署名を生成する可能性がある。

Ledger は、アプリケーションレベルのチェックサムと SDK レイヤーを通じてこの問題を修正し、8月21日に Ledger Secure SDK v26.6.1 をリリースしたと述べている。関連アプリケーションは再構築され公開されている。ユーザーは Ledger Live を通じてアプリケーションを更新する必要があり、デバイスファームウェアの更新のみでは修正が完了しない。ただし、Ledger は現在、この脆弱性が実際に悪用された証拠はないと述べている。