Theo thông báo bảo mật chính thức của Ledger (LSB 023), Ledger Secure SDK tồn tại lỗ hổng giao hoán lệnh: máy chủ có thể gửi lệnh APDU mới trong khi người dùng đang xem xét các tham số chữ ký trên màn hình thiết bị, dẫn đến nội dung chữ ký thực tế không khớp với nội dung hiển thị trên màn hình, tạo thành lỗ hổng bảo mật kiểu "thời gian kiểm tra và thời gian sử dụng" (TOCTOU) (CWE-362). Lỗ hổng này được giới thiệu vào tháng 8 năm 2025 và ảnh hưởng đến các ứng dụng được xây dựng dựa trên phiên bản Ledger Secure SDK v26.6.0 trở xuống; phần mềm nền tảng thiết bị không bị ảnh hưởng. Ledger cho biết hiện chưa có bằng chứng nào cho thấy lỗ hổng này đã bị khai thác thực tế.
Ledger tiết lộ lỗ hổng giao diện SDK bị xen kẽ lệnh, đã hoàn tất vá
TechFlowChia sẻ
Tóm tắt
Ledger đã thông báo về lỗ hổng sắp xếp lệnh trong Secure SDK, ảnh hưởng đến các ứng dụng được xây dựng trên các phiên bản v26.6.0 và các phiên bản cũ hơn. Lỗ hổng này có thể cho phép máy chủ chèn các lệnh APDU không được ủy quyền trong quá trình xác thực người dùng, và đã được vá trước giai đoạn đánh giá quy định của CFT. Vấn đề này—được phân loại là lỗ hổng TOCTOU—không ảnh hưởng đến phần mềm nền tảng thiết bị. Ledger cho biết không có bằng chứng nào về việc khai thác thực tế. Hành động nhanh chóng của công ty diễn ra trong bối cảnh các tài sản có rủi ro đang thu hút sự chú ý trở lại do các khung quy định thay đổi.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.