La versione 1.22.3 corregge due vulnerabilità di firma rimaste nella release precedente
Ledger ha pubblicato il 25 agosto la versione 1.22.3 dell’app Ethereum per correggere due vulnerabilità nella firma delle transazioni. L’aggiornamento segue la versione 1.22.2, distribuita il 13 agosto, che aveva già risolto un difetto distinto identificato come LSB-023.
La prima falla, LSB-024, riguardava la gestione degli array di operazioni durante la clear signing. L’app leggeva il numero delle operazioni con un valore a 16 bit, ma memorizzava il conteggio residuo in un campo a 8 bit. Nella dimostrazione di Ledger, un array di 257 operazioni riportava il contatore a uno: il dispositivo mostrava soltanto l’ultima operazione, mentre la firma autorizzava l’intero gruppo.
Secondo Ledger, lo sfruttamento richiedeva un host compromesso e un array di operazioni insolitamente grande controllato dall’attaccante. Il test è stato svolto su un fork di rete privata e la società ha riferito di non avere rilevato perdite di utenti. I registri di Ledger mostrano che la correzione era stata integrata il 5 maggio, prima della pubblicazione della versione 1.22.2.
La seconda vulnerabilità, LSB-025, interessava il percorso dei pagamenti in token usato dall’applicazione Ledger Exchange durante gli swap. L’app verificava token, quantità e destinatario, senza controllare che l’azione richiesta fosse effettivamente un pagamento. Un fornitore di swap malevolo o compromesso poteva sostituire un’approvazione del token con gli stessi parametri. L’approvazione non trasferisce da sola i fondi e richiede una transazione successiva. Ledger raccomanda di aggiornare l’app Ethereum tramite Ledger Live.
