Ledger披露 LSB 023 漏洞：仅升级固件无法完成修复

BlockBeats 消息，8 月 28 日，Ledger 昨日于官网披露 LSB 023 安全漏洞细节。

根据披露内容，部分基于 Ledger Secure SDK 构建的应用，在用户进行屏幕确认期间，仍可能接收新的 APDU 指令。这会导致屏幕显示的参数与最终签名参数不一致。

在攻击者控制设备与主机之间 APDU 通信的情况下，用户确认屏幕所示操作后，设备仍可能对不同参数生成签名。

Ledger 表示，相关问题已通过应用级校验和 SDK 层修复，并已于 8 月 21 日发布 Ledger Secure SDK v26.6.1。相关应用也已重新构建并发布。

Ledger 提醒用户通过 Ledger Live 更新应用，仅更新设备固件不足以完成修复。

Ledger 同时称，目前没有证据显示该漏洞已被实际利用。