Selon l'avis de sécurité officiel de Ledger (LSB 023), le Ledger Secure SDK présente une vulnérabilité d'interleaving de commandes : l'hôte peut envoyer une nouvelle commande APDU pendant que l'utilisateur examine les paramètres de signature à l'écran de l'appareil, ce qui entraîne une incohérence entre le contenu réellement signé et ce qui est affiché à l'écran, constituant ainsi un défaut de sécurité typique de type « Time-of-Check to Time-of-Use » (TOCTOU) (CWE-362). Cette vulnérabilité a été introduite en août 2025 et affecte les applications construites sur la base du Ledger Secure SDK version v26.6.0 et inférieures ; le firmware de l'appareil lui-même n'est pas concerné. Ledger indique qu'aucune preuve actuelle ne montre que cette vulnérabilité a été exploitée.
Ledger révèle une vulnérabilité d'intercalage de commandes SDK, correctifs terminés
TechFlowPartager
Résumé
Ledger a annoncé une vulnérabilité d'intercalation de commandes dans son Secure SDK, affectant les applications construites sur les versions v26.6.0 et antérieures. Cette faille, qui pourrait permettre à un hôte d'injecter des commandes APDU non autorisées pendant la vérification utilisateur, a été corrigée avant la période d'examen réglementaire de la CFT. Le problème—classé comme une vulnérabilité TOCTOU—n'affecte pas le micrologiciel de l'appareil. Ledger a indiqué qu'il n'existe aucune preuve d'exploitation dans le monde réel. L'action rapide de l'entreprise intervient alors que les actifs à risque attirent à nouveau l'attention dans un contexte de cadres réglementaires en évolution.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.