CVE-2023-7345
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Ledger Live z podatnymi wersjami ledgerhq/hw-app-eth przed 6.34.7 zawiera podatność parsowania liczb całkowitych, która pozwala atakującym manipulować wiadomościami EIP-712 poprzez wykorzystanie nieprawidłowego parsowania pól szesnastkowych, gdy wartości zawierają nieparzystą liczbę znaków. Atakujący mogą uzyskać podpisy na obciętych lub błędnie zinterpretowanych wartościach, aby autoryzować niezamierzone transakcje blockchain.
Ocena ryzyka
Atakujący może nakłonić użytkownika do podpisania transakcji blockchain z nieprawidłowymi wartościami, co może prowadzić do utraty środków lub nieautoryzowanych transferów.
Rekomendacja
Zaleca się aktualizację Ledger Live oraz biblioteki ledgerhq/hw-app-eth do wersji 6.34.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Ledger Live with vulnerable versions of ledgerhq/hw-app-eth prior to 6.34.7 contains an integer parsing vulnerability that allows attackers to manipulate EIP-712 typed data messages by exploiting incorrect hexadecimal field parsing when values contain an odd number of characters. Attackers can obtain signatures on truncated or misinterpreted message values to authorize unintended blockchain transactions, such as asset transfers at incorrect amounts.