Ledger Cihazlarda İşlem Değiştirme Riski ve Güncelleme Uyarısı

Ledger donanım cüzdan kullanıcılarının, cihaz ekranında onayladıkları işlem ile imzalanan verinin farklılaşmasına yol açabilen bir güvenlik açığına karşı uygulamalarını güncellemeleri gerektiği bildirildi. OneKey Anzen ekibi tarafından laboratuvar ortamında kanıtlanan bu açık, Ledger Ethereum App 1.22.1 sürümündeki bir zamanlama hatasından kaynaklanıyor.

Güvenlik Açığı Nasıl Çalışıyor?

Söz konusu hata, kullanıcı bir işlemi incelerken eş zamanlı olarak başka bir işlemin işleme alınabildiği race condition durumundan besleniyor. Bu senaryoda kullanıcı meşru işlemi onayladığını düşünürken, cihaz arka planda saldırgan tarafından belirlenen farklı bir işlemi imzalayabiliyor. Ledger, bu durumun cihazın işletim sistemi veya firmware kaynaklı olmadığını, Ledger Secure SDK veri giriş-çıkış süreçleriyle ilgili olduğunu belirtti.

Güncelleme Süreci Nasıl İşlemeli?

Şirket, LSB 023 kodlu güvenlik duyurusunda, onay ekranı açıkken cihazın yeni APDU komutları alabilmesinin parametre uyuşmazlığına yol açtığını açıkladı. Sorunun çözümü için sadece firmware güncellemesi yeterli olmuyor; kullanıcıların ilgili uygulamaları Ledger Live üzerinden en güncel sürüme yükseltmeleri gerekiyor. Ledger, 21 Ağustos’ta yayımlanan 26.6.1 sürümüyle SDK katmanında gerekli düzenlemeleri yaptı. Yetkililer, şu ana kadar bu açığın kötü niyetli kişilerce istismar edildiğine dair herhangi bir kanıt bulunmadığını da vurguladı.