Lỗ hổng bảo mật ví Ledger; người dùng cần cập nhật ứng dụng Ethereum lên phiên bản 1.22.2

Một lỗ hổng bảo mật đã được phát hiện trong ứng dụng Ethereum của ví phần cứng Ledger, cho phép một dApp độc hại có thể ký một giao dịch khác với những gì hiển thị trên màn hình thiết bị trong những điều kiện nhất định. Ledger đã phát hành phiên bản 1.22.2 của ứng dụng Ethereum để khắc phục vấn đề này và người dùng cần cài đặt nó càng sớm càng tốt.

Theo báo cáo của Mihan Blockchain, lỗ hổng này liên quan đến cách quản lý đồng thời các yêu cầu ký. Trong kịch bản tấn công, chi tiết giao dịch chính vẫn được hiển thị trên màn hình thiết bị, nhưng một yêu cầu thứ hai có thể thay thế nó trong bộ nhớ và cuối cùng gửi dữ liệu khác để ký cho thiết bị.

Lỗ hổng hoạt động như thế nào?

Theo báo cáo của công ty bảo mật TestMachine, để khai thác lỗi này, cần có một dApp với quyền truy cập WebHID; một tính năng cho phép một số ứng dụng web giao tiếp trực tiếp với các thiết bị phần cứng.

Trong kịch bản này, kẻ tấn công có thể gửi yêu cầu ký thứ hai khi người dùng đang xem xét một giao dịch. Yêu cầu này sẽ thay thế dữ liệu giao dịch trước đó trong bộ nhớ mà không cần bắt đầu một quy trình kiểm tra mới. Do đó, người dùng vẫn thấy thông tin giao dịch ban đầu trên màn hình, nhưng khi chọn tùy chọn xác nhận, họ sẽ ký dữ liệu đã được thay thế.

TestMachine cũng đã thông báo rằng họ đã tái tạo kịch bản này trên Ledger Flex.

Ledger đã thực hiện thay đổi gì để khắc phục vấn đề?

Các thay đổi được ghi lại trong mã chính thức của Ledger cho thấy công ty đã thêm hai kiểm soát bảo mật để ngăn chặn tấn công. Đầu tiên, ứng dụng không còn cho phép yêu cầu ký mới làm gián đoạn quy trình kiểm tra của một giao dịch đang hoạt động. Thứ hai, khi nhận lệnh xác nhận, trạng thái hiện tại của quy trình ký sẽ được kiểm tra và nếu không khớp với trạng thái mong đợi, yêu cầu sẽ bị từ chối.

Các sửa đổi này đã được áp dụng trong phiên bản 1.22.2 của ứng dụng Ethereum, có lịch sử phát hành từ ngày 12 tháng 8. Tuy nhiên, TestMachine đã tuyên bố rằng phiên bản này vẫn chưa được cung cấp hoàn toàn cho người dùng.

Theo TestMachine, do việc sử dụng mã chung, lỗ hổng này cũng có thể ảnh hưởng đến các mẫu Nano X, Nano S Plus, Stax và Apex. Tệp chính thức của phiên bản 1.22.2 cũng đã đề cập đến các mẫu này bên cạnh Ledger Flex như là các thiết bị mục tiêu của ứng dụng Ethereum.

Ledger vẫn chưa xác định phiên bản đầu tiên bị lỗ hổng của ứng dụng này là phiên bản nào. Do đó, không rõ có bao nhiêu phiên bản trước đó đã có lỗi này.

Sự khác biệt trong câu chuyện giữa Ledger và TestMachine về việc phát hiện lỗ hổng

Charles Guillemet, Giám đốc công nghệ của Ledger, đã thông báo vào ngày 23 tháng 8 rằng đội ngũ bảo mật nội bộ Ledger Donjon đã phát hiện ra lỗi này trước khi công ty TestMachine liên hệ với chương trình bug bounty của công ty.

Guillemet cho biết đội ngũ này đã phát hiện và khắc phục vấn đề trong một số quy trình "ký minh bạch" khoảng hai tuần trước khi ông phát biểu. Ngược lại, TestMachine cho biết hệ thống Azimuth đã phát hiện lỗ hổng này và đã chia sẻ phát hiện của họ với Ledger và xác nhận tính chính xác của nó.

Mặc dù có sự khác biệt trong câu chuyện về thời gian và cách phát hiện lỗ hổng, cả hai bên đều xác nhận rằng có vấn đề và đã sửa chữa nó trong mã ứng dụng.

Cần lưu ý rằng cho đến nay, không có trường hợp nào được xác nhận về việc khai thác lỗ hổng này trong thế giới thực, đánh cắp tài sản của người dùng hoặc khai thác khóa riêng. Tuy nhiên, vì lỗ hổng này liên quan trực tiếp đến quy trình xác nhận và ký giao dịch, việc cập nhật ứng dụng là rất quan trọng.

Người dùng Ledger cần kiểm tra phiên bản ứng dụng Ethereum trên thiết bị của họ và nếu đang sử dụng phiên bản cũ hơn, họ nên nâng cấp lên 1.22.2. Ledger cũng khuyến nghị người dùng nên cập nhật không chỉ ứng dụng Ethereum mà còn cả hệ điều hành của thiết bị, các ứng dụng khác và phần mềm khách liên quan lên phiên bản mới nhất.

Ngoài ra, lỗ hổng này khác với một lỗ hổng bảo mật khác đã được báo cáo trước đó trong ứng dụng gốc Zilliqa của Ledger và không liên quan đến cuộc tấn công năm 2023 vào Connect Kit.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.