BlockBeatsの情報によると、8月28日、Ledgerは昨日公式サイトでLSB 023のセキュリティ脆弱性の詳細を公開しました。Ledger Secure SDKを基に構築された一部のアプリでは、ユーザーが画面確認中に新しいAPDUコマンドを受信する可能性があり、画面に表示されるパラメータと最終的に署名されるパラメータが一致しない状況が発生します。攻撃者がデバイスとホスト間のAPDU通信を制御している場合、ユーザーが画面に表示された操作を確認しても、デバイスは異なるパラメータに対して署名を生成する可能性があります。
Ledgerは、アプリケーションレベルの検証とSDK層でこの問題を修正し、8月21日にLedger Secure SDK v26.6.1をリリースし、関連アプリを再構築して公開したと発表しました。ユーザーはLedger Liveを通じてアプリを更新する必要があります。デバイスのファームウェアを更新するだけでは、この修正は完了しません。ただし、Ledgerは、この脆弱性が実際に悪用された証拠は現在のところ存在しないと述べています。