CVE-2023-7346
ŚrednieCVSS 4.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Aplikacja Ledger Bitcoin w wersjach 2.1.0 i 2.1.1 zawiera podatność w wyprowadzaniu adresów, która pozwala atakującym na wyświetlanie nieprawidłowych adresów Bitcoin poprzez wykorzystanie nieprawidłowego przetwarzania polityk miniscript zawierających fragment 'a:'. Atakujący mogą tworzyć złośliwe polityki miniscript, które powodują wyprowadzenie i wyświetlenie nieprawidłowych adresów odbiorczych, co może prowadzić do wysłania środków na niezamierzone adresy.
Ocena ryzyka
Ryzyko polega na możliwości utraty środków przez użytkowników, którzy mogą wysłać Bitcoiny na nieprawidłowy adres, co jest szczególnie niebezpieczne dla portfeli sprzętowych, gdzie zaufanie do wyświetlanego adresu jest kluczowe.
Rekomendacja
Zaleca się natychmiastową aktualizację aplikacji Ledger Bitcoin do wersji nowszej niż 2.1.1, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
Ledger Bitcoin app versions 2.1.0 and 2.1.1 contain an address derivation vulnerability that allows attackers to cause incorrect Bitcoin addresses to be displayed by exploiting improper handling of miniscript policies containing the a: fragment. Attackers can craft malicious miniscript policies that cause the device to derive and display incorrect receiving addresses, potentially leading to funds being sent to unintended addresses.