Ledger’da Farklı İşlem İmzalanabilir: Uygulamaları Ledger Live’dan Güncelleyin
Ledger’da kullanıcı ekranda bir işlemi görürken farklı bir işlemi imzalayabilir; korunmak için uygulamaların Ledger Live üzerinden güncellenmesi gerekiyor.
Wu Blockchain’in aktardığı açıklamaya göre OneKey Anzen ekibi, Ledger Ethereum App 1.22.1 sürümünde işlem değiştirme saldırısını laboratuvar ortamında yeniden üretti. Bu senaryoda kullanıcı işlem A’yı görüp onaylarken cihaz, ekranda gösterilmeyen işlem B’yi imzalayabiliyor. Ledger kullanıcılarının yalnızca cihaz yazılımını değil, ilgili uygulamaları da Ledger Live üzerinden güncellemesi gerekiyor.
OneKey kurucusu Yishi, sorunun işlem ekranı ile imzalanmayı bekleyen verilerin tutulduğu bölüm arasındaki race condition adı verilen zamanlama hatasından kaynaklandığını söyledi. İki işlem aynı anda işlendiğinde saldırgan, kullanıcı meşru işlemi incelerken bekleyen işlemin içeriğini değiştirebiliyor. Böylece ekranda gösterilen bilgilerle cihazın imzaladığı bilgiler ayrışabiliyor.
Ledger açığı uygulama ve SDK katmanında düzeltti
Ledger, LSB 023 kodlu güvenlik duyurusunda bazı uygulamaların onay ekranı açıkken yeni APDU komutları almayı sürdürebildiğini açıkladı. APDU, cihaz ile uygulama arasındaki veri iletişimini sağlayan komutları ifade ediyor. Bu durum, ekranda gösterilen işlem parametreleriyle imzalanan parametrelerin farklılaşmasına yol açabiliyor.
Şirket, sorunun cihaz işletim sistemi veya firmware’den değil, Ledger Secure SDK’nin veri giriş-çıkış işlemlerinden kaynaklandığını belirtti. Düzeltme, uygulama kontrolleri ve SDK değişiklikleriyle yapıldı. Ledger Secure SDK’nin 26.6.1 sürümü 21 Ağustos’ta yayımlandı ve firmware güncellemesinin tek başına yeterli olmadığı vurgulandı.
OneKey açıklamasında düzeltme sürümü 1.22.3 olarak belirtilirken, topluluk notlarında Ledger’ın açığı Ethereum App 1.22.2 ile giderdiği ifade edildi. Ledger ayrıca şu ana kadar açığın istismar edildiğine dair kanıt bulunmadığını bildirdi.
