Ledger が SDK のコマンドインタリーブ脆弱性を公表し、修正を完了

TechFlowより、8月28日にLedger公式セキュリティ公告（LSB 023）において、Ledger Secure SDKにコマンド交差の脆弱性が報告された。この脆弱性により、ホストはユーザーがデバイス画面で署名パラメータを確認している間に新たなAPDUコマンドを送信でき、実際の署名内容と画面表示内容が不一致となる。これは典型的な「チェック時と使用時」（TOCTOU）セキュリティ脆弱性（CWE-362）に該当する。

本脆弱性は2025年8月に取り込まれ、Ledger Secure SDK v26.6.0およびそれ以下のバージョンを基盤とするアプリケーションに影響を与えるが、デバイスファームウェア自体への影響はない。Ledgerは現時点で当該脆弱性の実世界での悪用を示す証拠はないと述べている。