Описана помилка збігається з уразливістю, яку 22 серпня вже публічно розкрив незалежний дослідник TestMachine, і Ledger закрила її в версії 1.22.2, а не 1.22.3, як заявив Йіші.
Сама Ledger підтвердила проблему в LSB 023: деякі додатки на Ledger Secure SDK могли приймати нові команди під час підтвердження на екрані, через що відображені параметри відрізнялися від фактично підписаних. Справа в обробці введення-виведення в SDK, а не в прошивці пристрою. Версія SDK 26.6.1 вийшла 21 серпня; користувачам потрібно оновити саме додатки через Ledger Live.
Випадків використання цієї уразливості в реальності Ledger не зафіксувала.
Продовжити читання цієї статті в джерелі: x.com