Ledger раскрывает детали уязвимости: параметры отображения на экране могут не совпадать с параметрами окончательной подписи

Сообщение ChainCatcher, Ledger вчера на своем официальном сайте раскрыла детали уязвимости LSB 023. Некоторые приложения, построенные на основе Ledger Secure SDK, могут продолжать получать новые APDU команды во время подтверждения на экране пользователем, что приводит к несоответствию параметров, отображаемых на экране, и окончательных параметров подписи.

В случае, если злоумышленник контролирует APDU связь между устройством и хостом, после подтверждения пользователем операции, отображаемой на экране, устройство может сгенерировать подпись с различными параметрами. Ledger заявила, что проблема была исправлена на уровне приложений и SDK, и 21 августа была выпущена Ledger Secure SDK v26.6.1, соответствующие приложения были заново собраны и выпущены. Пользователям необходимо обновить приложения через Ledger Live, простое обновление прошивки устройства недостаточно для завершения исправления. Тем не менее, Ledger утверждает, что в настоящее время нет доказательств того, что уязвимость была фактически использована.