Ledger 披露 SDK 命令交錯漏洞，已完成修復

深潮 TechFlow 消息，8 月 28 日，據 Ledger 官方安全公告（LSB 023），Ledger Secure SDK 存在一項命令交錯漏洞：主機可在用戶正在設備屏幕上審查簽名參數期間，發送新的 APDU 命令，導致實際簽名內容與屏幕顯示內容不一致，形成典型的"檢查時間與使用時間"（TOCTOU）安全缺陷（CWE-362）。

該漏洞於 2025 年 8 月引入，影響基於 Ledger Secure SDK v26.6.0 及以下版本構建的應用程序，設備固件本身不受影響。Ledger 表示目前無證據顯示該漏洞已被實際利用。