Ledger раскрыл уязвимость чередования команд в SDK, исправление завершено.

По сообщению TechFlow, 28 августа, согласно официальному бюллетеню по безопасности Ledger (LSB 023), в Ledger Secure SDK выявлена уязвимость чередования команд: хост может во время проверки параметров подписи пользователем на экране устройства отправить новую команду APDU, что приводит к расхождению между фактическим содержимым подписи и отображаемой на экране информацией, создавая типичную уязвимость TOCTOU («время проверки и время использования») (CWE-362).

Уязвимость появилась в августе 2025 года, затрагивает приложения, созданные на базе Ledger Secure SDK версий 26.6.0 и ниже; прошивка самих устройств не затрагивается. В компании отметили, что на текущий момент отсутствуют доказательства факта эксплуатации данной уязвимости.