Ledger 以太坊应用 1.22.1 被曝交易替换漏洞

Odaily星球日报讯，OneKey Anzen 复现 Ledger 漏洞后表示，Ledger 以太坊应用 1.22.1 版本存在交易替换漏洞。

根据披露内容，被攻击用户的硬件屏幕仍会显示正在审核的 A 交易，但设备可能签署用户未查看的 B 交易。

OneKey Anzen 表示，这一问题源于交易显示逻辑与底层缓冲区之间的竞态条件。该漏洞成立的前提是，主机侧已经被恶意 DApp 或中间软件控制。

Ledger CTO 此前回应称，漏洞修复已于约两周前上线，用户更新应用即可。

公开信息显示，Ledger GitHub 上 1.22.2 版本的正式标签于 8 月 24 日出现。Ledger 官网称，公司已通过应用级校验和 SDK 层修复该问题，并于 8 月 21 日发布 Ledger Secure SDK v26.6.1，相关应用已经重新构建并发布。

Ledger 同时提醒，用户需要通过 Ledger Live 更新应用，仅更新设备固件无法完成修复。

Ledger 表示，目前没有证据显示该漏洞已被实际利用。