Ledger'da Ethereum(ETH) İşlemi Ekrandakinden Farklı İmzalanabiliyordu

Ledger'ın Ethereum(ETH) cüzdan uygulamasının 1.22.1 sürümünde, kullanıcıların cihaz ekranında onayladığı işlemin aslında imzalanan işlemden farklı olabildiği ortaya çıktı.

Decrypt'in haberine göre güvenlik firması OneKey, Ledger'ın Ethereum uygulaması 1.22.1'de cihazda görüntülenen işlemden farklı bir işlemin imzalanmasını sağlayan saldırıyı yeniden oluşturmayı başardı. Ledger, yayımladığı güvenlik duyurusunda ekran onayı tamamlanmadan yeni bir 'APDU' komutunun işlenmesi durumunda imza parametrelerinin değişebildiğini açıkladı.

Şirket, sorunun tek bir uygulamaya özgü bir hata olmadığını, Ledger Güvenlik SDK'sının komut işleme akışıyla ilgili daha genel bir açık türü olduğunu belirtti. Ledger'a göre uygulama düzeyinde durum doğrulaması getiren Ethereum uygulaması 1.22.2 sürümü 13 Ağustos'ta yayımlandı; 21 Ağustos'ta ise Ledger Güvenlik SDK v26.6.1 ile kapsamlı bir düzeltme uygulandı.

Ledger, açığın herhangi bir kullanıcı mağduriyetine yol açtığına dair kanıt bulunmadığını vurguladı. Şirket kullanıcılardan Ledger Live üzerinden uygulamalarını güncellemelerini istedi; yalnızca 'firmware' güncellemesinin etkilenen uygulamanın değiştirildiği anlamına gelmediğini, bu nedenle cihaz üzerinden uygulama sürümünün ayrıca kontrol edilmesi gerektiğini hatırlattı.