Ledger가 취약점 세부 내용을 공개했습니다: 화면에 표시된 매개변수가 최종 서명 매개변수와 일치하지 않을 수 있습니다

BlockBeats 뉴스, 8월 28일, Ledger가 어제 공식 웹사이트에서 LSB 023 보안 취약점 세부 사항을 공개했다. Ledger Secure SDK를 기반으로 구축된 일부 앱은 사용자가 화면에서 확인하는 동안에도 새로운 APDU 명령을 수신할 수 있어, 화면에 표시된 매개변수와 최종 서명 매개변수가 일치하지 않을 수 있다. 공격자가 기기와 호스트 간의 APDU 통신을 제어하는 경우, 사용자가 확인 화면에 표시된 작업을 승인한 후 기기가 다른 매개변수에 대해 서명을 생성할 수 있다.

Ledger는 앱 수준 체크섬과 SDK 계층을 통해 이 문제를 수정했으며, 8월 21일에 Ledger Secure SDK v26.6.1을 출시했고 관련 앱은 재구축되어 배포되었다고 밝혔다. 사용자는 Ledger Live를 통해 앱을 업데이트해야 하며, 기기 펌웨어만 업데이트하는 것으로는 수정이 완료되지 않는다. 다만 Ledger는 현재 이 취약점이 실제로 악용되었다는 증거는 없다고 밝혔다.