Sicherheitslücke in Ledger-Ethereum-App betrifft Transaktionen

Sicherheitsforscher von OneKey Anzen haben in ihrem Labor erfolgreich einen Angriff auf Version 1.22.1 der Ledger Ethereum App nachgestellt. Durch eine Schwachstelle in der Software konnte ein Angreifer eine Transaktion unsichtbar austauschen, während der Nutzer eine andere Transaktion auf dem Bildschirm freigab. Ledger hat das Problem inzwischen behoben und empfiehlt Nutzern, ihre App zu aktualisieren.

Das Wichtigste in Kürze:

• OneKey Anzen hat einen Angriff reproduziert, bei dem eine freigegebene Transaktion auf einem Ledger Gerät durch eine andere, unsichtbare Transaktion ersetzt wurde.
• Ursache ist eine Schwachstelle in der Ledger Ethereum App Version 1.22.1, die durch ein Timing-Problem zwischen der Anzeigelogik und dem Transaktionspuffer entsteht.
• Ledger hat die Schwachstelle in Version 1.22.3 der Ethereum App behoben und erklärt, es gebe keine Hinweise auf einen tatsächlichen Missbrauch.

So funktioniert der Angriff

Yishi, Gründer von OneKey, erklärt, dass der Angriff auf einem Timing-Problem in der Ledger Ethereum App beruht. In dem Moment, in dem ein Nutzer eine Transaktion auf dem Bildschirm betrachtet und freigibt, kann ein Angreifer im Hintergrund eine andere Transaktion in den Puffer schreiben.

Das Ergebnis: Der Nutzer sieht Transaktion A, gibt Transaktion A frei, aber das Gerät signiert Transaktion B. Diese zweite Transaktion erscheint zu keinem Zeitpunkt auf dem Bildschirm des Nutzers.

Yishi zufolge konnte sein Team den Angriff vollständig nachstellen, von Anfang bis Ende, indem es die Anwendung selbst neu aufbaute und einen bekannten Fehler in der Testumgebung umging.

Ledger erkennt Schwachstelle an und veröffentlicht Update

Ledger hat die Schwachstelle offiziell als LSB 023 dokumentiert. Das Unternehmen erklärt, dass einige Apps, die mit dem Ledger Secure SDK erstellt wurden, während des Bestätigungsbildschirms noch neue Befehle empfangen konnten, wodurch die angezeigten Transaktionsdaten von dem abweichen konnten, was tatsächlich signiert wurde. Laut Ledger liegt das Problem in der Verarbeitung von Ein- und Ausgaben innerhalb des SDK, nicht im Betriebssystem oder der Firmware des Geräts selbst.

Der Fix wurde durch Anpassungen auf App-Ebene und ein SDK-Update umgesetzt. SDK Version 26.6.1 erschien am 21. August. Nutzer müssen ihre Apps über Ledger Live aktualisieren, da ein reines Firmware-Update nicht ausreicht. Ledger gibt an, keine Anzeichen dafür zu haben, dass die Schwachstelle tatsächlich ausgenutzt wurde.

In den Community Notes zum ursprünglichen Tweet wird angemerkt, dass die Schwachstelle bereits am 22. August von TestMachine bekannt gemacht wurde und Ledger sie bereits in Version 1.22.2 behoben hatte, nicht in 1.22.3, wie Yishi behauptet. Wer noch mit einer älteren Version der Ethereum App arbeitet, sollte diese so schnell wie möglich aktualisieren.