Ledger Kullanıcılarına Kritik Uyarı: Ekranda Görülenden Farklı İşlem İmzalanabilir

Ledger kullanıcıları, cihaz ekranında gördükleri işlemden farklı bir işlemi imzalama riski nedeniyle uygulamalarını Ledger Live üzerinden güncellemeli.

Wu Blockchain’in aktardığı açıklamaya göre OneKey Anzen ekibi, Ledger Ethereum App 1.22.1 sürümündeki işlem değiştirme açığını laboratuvar ortamında yeniden üretti. Kullanıcı işlem A’yı görüp onaylarken cihaz, ekranda gösterilmeyen işlem B’yi imzalayabiliyor.

Sorun, ekranda gösterilen işlem ile imzalanmayı bekleyen verinin aynı anda işlenmesi sırasında oluşan zamanlama açığından kaynaklanıyor. Saldırgan bu kısa aralıkta bekleyen işlemin içeriğini değiştirirse ekrandaki bilgiler ile cihazın imzaladığı veriler birbirinden ayrılabiliyor.

Ledger açığı uygulama katmanında düzeltti

Ledger’ın güvenlik duyurusuna göre bazı uygulamalar, onay ekranı açıkken cihazdan yeni komutlar almaya devam edebiliyordu. Bu da gösterilen işlem bilgileriyle imzalanan bilgilerin farklılaşmasına yol açabiliyordu.

Şirket, açığın cihaz işletim sisteminden değil, uygulamaların veri giriş ve çıkış biçiminden kaynaklandığını belirtti. Düzeltme uygulama kontrolleri ve Ledger Secure SDK değişiklikleriyle yapıldı.

Ledger Secure SDK’nin 26.6.1 sürümü 21 Ağustos’ta yayımlandı. Kullanıcıların yalnızca cihaz yazılımını değil, Ledger üzerindeki ilgili uygulamaları da Ledger Live üzerinden en güncel sürüme yükseltmesi gerekiyor.