TechFlow 보도에 따르면, 8월 28일 Ledger 공식 보안 공지(LSB 023)에 따라 Ledger Secure SDK에 명령 교차 취약점이 존재함을 확인했습니다. 호스트는 사용자가 장치 화면에서 서명 매개변수를 검토하는 동안 새로운 APDU 명령을 전송할 수 있으며, 이로 인해 실제 서명 내용과 화면에 표시된 내용이 불일치하여 전형적인 "체크 타임스 유즈 타임"(TOCTOU) 보안 결함(CWE-362)이 발생합니다.
해당 취약점은 2025년 8월 도입되었으며, Ledger Secure SDK v26.6.0 이하 버전을 기반으로 구축된 애플리케이션에 영향을 미칩니다. 기기 펌웨어 자체에는 영향이 없습니다. Ledger 측은 현재 이 취약점이 실제로 악용되었음을 시사하는 증거가 없다고 밝혔습니다.
즐겨찾기 추가
소셜 미디어 공유
