Metamask Snap revisionsrapport for Peersyst

Ledelsesoversigt

Peersyst kontaktede Sayfer Security for at udføre penetrationstest på Peersysts MetaMask Snap i august 2024.

Inden vi vurderede ovenstående tjenester, holdt vi et kickoff-møde med Peersysts tekniske team og fik et overblik over systemet og målene for denne forskning.

I løbet af undersøgelsesperioden på 2 uger opdagede vi 2 sårbarheder i systemet.

Som konklusion bør der implementeres adskillige rettelser efter rapporten, men systemets sikkerhedsposition er kompetent.

Efter en gennemgang fra Sayfer-teamet bekræfter vi, at alle sikkerhedsproblemerne nævnt i denne rapport er blevet løst af Peersyst-teamet.

Risikometodologi

Hos Sayfer er vi forpligtet til at levere penetrationstest af højeste kvalitet til vores kunder. Det er derfor, vi har implementeret en omfattende risikovurderingsmodel for at evaluere alvoren af ​​vores resultater og give vores kunder de bedst mulige anbefalinger til afbødning.

Vores risikovurderingsmodel er baseret på to nøglefaktorer: IMPACT og SANDSYNLIGHED. Påvirkning refererer til den potentielle skade, der kan følge af et problem, såsom økonomisk tab, skade på omdømme eller et ikke-operativt system. Sandsynlighed refererer til sandsynligheden for, at et problem vil opstå under hensyntagen til faktorer som kompleksiteten af ​​angrebet og antallet af potentielle angribere.

Ved at kombinere disse to faktorer kan vi skabe en omfattende forståelse af den risiko, et bestemt problem udgør, og give vores kunder en klar og handlekraftig vurdering af problemets alvor. Denne tilgang giver os mulighed for at prioritere vores anbefalinger og sikre, at vores kunder får den bedst mulige rådgivning om, hvordan de beskytter deres forretning.

Risiko er defineret som følger:

Sikkerhedsvurderingsmetode

Sayfer bruger OWASP WSTG som vores tekniske standard ved gennemgang af webapplikationer. Efter at have fået en grundig forståelse af systemet besluttede vi, hvilke OWASP-tests der kræves for at evaluere systemet.

Sikkerhedsvurdering

Efter at have forstået og defineret omfanget, udført trusselsmodellering og evalueret de korrekte test, der kræves for fuldt ud at kontrollere applikationen for sikkerhedsfejl, udførte vi vores sikkerhedsvurdering.

Beskrivelse af problemtabel

Udgavetitel

Beskrivelse

Her giver vi en kort beskrivelse af problemet og hvordan det opstod, de trin, vi tog for at finde eller udnytte det, sammen med proof of concept (hvis det er til stede), og hvordan dette problem kan påvirke produktet eller dets brugere.

Mitigation

Foreslåede løsningsmuligheder for dette problem og links til anbefalede websteder for yderligere afhjælpning.

Sikkerhedsvurderingsresultater

Brug af forældede funktioner

Beskrivelse

Snappen bruger metoder fra snaps-sdk bibliotek, som f.eks skillelinje, overskrift, panel, tekst og kopierbar, der er markeret som forældede, når du opretter dialoger.

Metamask foreslår, at de udskiftes med nye JSX-komponenter. Brug af kode, der ikke længere understøttes af dens skaber, betragtes som en dårlig sikkerhedspraksis.

Mitigation

Vi foreslår at følge Metamasks forslag og bruge JSX-komponenter, som de understøtter som en del af deres SDK.

Manglende validering i ChangeNetworkHandler

Beskrivelse

ChangeNetworkHandler tillader ændring af den understøttede blockchain, men validerer ikke, at det nye netværk er anderledes end det gamle.

Mitigation

Når det gamle og det nye netværk er identiske, bør brugeren modtage feedback, der informerer dem om, at deres handling ikke vil have nogen effekt.