Pembuat dompet kripto Ledger mendesak pengguna aplikasi Ethereum untuk memperbarui lagi setelah dua kelemahan penandatanganan tetap ada dalam rilis keamanan sebelumnya.
Pembuat dompet perangkat keras merilis aplikasi Ethereum versi 1.22.3 pada 25 Agustus, menutup kerentanan yang dapat menyembunyikan operasi dari tinjauan perangkat atau mengotorisasi persetujuan token sebagai pengganti pembayaran yang diharapkan.
Pembaruan ini mengikuti kontroversi terkait kelemahan penandatanganan Ethereum yang direproduksi oleh pembuat dompet pesaing, OneKey. Masalah tersebut, dilacak sebagai LSB-023, memengaruhi versi lama dan memungkinkan host yang telah dikompromikan untuk menyisipkan perintah sehingga parameter transaksi dapat berubah setelah ditampilkan tetapi sebelum ditandatangani.
Ledger mengatakan OneKey menunjukkan bug tersebut terhadap versi 1.22.1 setelah perusahaan telah memperbaikinya di aplikasi Ethereum 1.22.2, yang dirilis pada 13 Agustus.
"Tidak ada pengguna Ledger yang diretas," tim keamanan Ledger said, menggambarkan demonstrasi tersebut sebagai reproduksi laboratorium yang melibatkan perangkat lunak usang. Perusahaan tersebut menyatakan tidak menemukan bukti eksploitasi di lapangan.
Chief Technology Officer Ledger Charles Guillemetmenyampaikan perbedaan yang sama, mengatakan bahwa mereproduksi kelemahan yang sudah diperbaiki tidak dapat dianggap sebagai “peretasan Ledger.”
Versi 1.22.2, bagaimanapun, tidak menutup semua kerentanan aplikasi Ethereum yang diketahui di Ledger. Sebaliknya, dua kelemahan terpisah, LSB-024 dan LSB-025, tetap ada hingga rilis 1.22.3.
Dua jalur penandatanganan tambahan tetap terbuka
LSB-024 memengaruhi cara aplikasi Ethereum memproses array operasi selama clear signing.
Aplikasi membaca jumlah operasi menggunakan nilai 16-bit, tetapi menyimpan sisa hitungan di bidang 8-bit. Dalam bukti konsep Ledger, sebuah array yang berisi 257 operasi membuat counter kembali ke satu, menyebabkan perangkat hanya menampilkan operasi terakhir meskipun tanda tangannya mengotorisasi seluruh batch.
Eksploitasi memerlukan host yang telah dikompromikan dan array operasi yang dikendalikan penyerang secara tidak biasa besar. Ledger menguji skenario ini pada fork jaringan pribadi dan melaporkan tidak ada kerugian pengguna nyata.
Kerentanan kedua, LSB-025, memengaruhi jalur pembayaran token yang digunakan oleh aplikasi Bursa Ledger selama pertukaran.
Aplikasi Ledger memeriksa token, jumlah, dan tujuan, tetapi tidak memverifikasi bahwa tindakan yang diminta sebenarnya merupakan pembayaran. Oleh karena itu, penyedia swap yang jahat atau telah dikompromikan dapat mengganti persetujuan token yang sesuai dengan parameter yang sama dan mendapatkan tanda tangan tanpa permintaan perangkat tambahan.
Kerentanan tersebut tidak dapat membuat persetujuan tanpa batas, beralih ke token lain, atau memberikan izin ke alamat sembarang. Persetujuan juga tidak secara langsung mentransfer dana, memerlukan transaksi berikutnya sebelum aset yang disetujui dapat dipindahkan.
Ledger mengatakan tidak menemukan bukti bahwa kerentanan pertukaran dimanfaatkan.
Riwayat rilis memunculkan pertanyaan terpisah. Catatan Ledger menunjukkan bahwa perbaikan untuk masalah array-count digabungkan pada 5 Mei dan koreksi validasi swap pada 25 Mei, berbulan-bulan sebelum versi 1.22.2 dirilis. Pemberitahuan keamanannya tidak menjelaskan mengapa perubahan tersebut tidak ada dalam pembaruan itu.
Ledger membela pendekatan luasnya dengan menunjukkan bahwa kemampuan pembaruan merupakan inti dari keamanan hardware wallet. Tim keamanannya mengatakan bahwa mereka secara terus-menerus mengidentifikasi kerentanan melalui penelitian internal dan program bug-bounty eksternal, lalu memperbaikinya melalui rilis perangkat lunak.
Untuk pengguna, perbedaan antara ketiga kerentanan ini penting. Versi 1.22.2 memperbaiki kelemahan command-interleaving yang kemudian direproduksi oleh OneKey, sementara versi 1.22.3 diperlukan untuk mengatasi dua bug penandatanganan tambahan yang diungkap pada 27 Agustus.
Ledger merekomendasikan untuk menginstal aplikasi Ethereum 1.22.3 atau lebih baru melalui Ledger Live dan memverifikasi versinya di perangkat. Memperbarui firmware hardware wallet saja tidak menggantikan aplikasi Ethereum yang terpengaruh.
Pos Ledger mengatakan “peretasan” yang viral sudah diperbaiki, tetapi dua bug nyata masih perlu diperbaiki pertama kali muncul di CryptoSlate.