Ledgerの脆弱性の詳細を公開：画面表示のパラメータが最終署名のパラメータと一致しない可能性があります

Ledgerは昨日、公式ウェブサイトでLSB 023のセキュリティ脆弱性の詳細を発表しました。一部のLedger Secure SDKを基に構築されたアプリケーションは、ユーザーが画面確認を行っている間に新しいAPDU命令を受信する可能性があり、これにより画面に表示されるパラメータと最終的な署名パラメータが一致しないことがあります。

攻撃者がデバイスとホスト間のAPDU通信を制御している場合、ユーザーが画面に表示された操作を確認した後、デバイスは異なるパラメータに対して署名を生成する可能性があります。Ledgerは、アプリケーションレベルのチェックサムとSDK層を通じてこの問題を修正したと述べており、8月21日にLedger Secure SDK v26.6.1をリリースしました。関連するアプリケーションは再構築され、リリースされています。ユーザーはLedger Liveを通じてアプリケーションを更新する必要があり、デバイスのファームウェアを更新するだけでは修正が完了しません。ただし、Ledgerは現在、この脆弱性が実際に悪用された証拠はないと述べています。