Ledger révèle une vulnérabilité d'intercalation de commandes dans le SDK, correction appliquée

Le 28 août, selon TechFlow, le bulletin de sécurité officiel de Ledger (LSB 023) signale que le Ledger Secure SDK présente une vulnérabilité d'intercalation de commandes : l'hôte peut émettre de nouvelles commandes APDU pendant que l'utilisateur examine les paramètres de signature à l'écran de l'appareil, entraînant une divergence entre le contenu réellement signé et celui affiché à l'écran, ce qui constitue une faille de sécurité typique de type « temps de vérification et temps d'utilisation » (TOCTOU) (CWE-362).

Cette vulnérabilité a été introduite en août 2025 et affecte les applications développées avec le Ledger Secure SDK v26.6.0 et les versions inférieures ; le firmware de l'appareil lui-même n'est pas concerné. Ledger indique qu'à ce jour, aucune preuve ne démontre que cette faille ait fait l'objet d'une exploitation réelle.