MetaMask Snap revisionsrapport for Tezos

Ledelsesoversigt

Tezos kontaktede Sayfer Security for at udføre en sikkerhedsrevision på Tezos MetaMask Snap.

Før vi vurderede ovenstående tjenester, holdt vi et kickoff-møde med Tezos tekniske team og fik et overblik over systemet og målene for denne forskning.

I løbet af undersøgelsesperioden på 2 uger opdagede vi 4 fund i systemet.

Som konklusion bør flere rettelser implementeres efter rapporten, men systemets sikkerhedsposition er kompetent.

Sikkerhedsvurderingsmetode

Sayfer bruger OWASP WSTG som vores tekniske standard ved gennemgang af webapplikationer. Efter at have fået en grundig forståelse af systemet besluttede vi, hvilke OWASP-tests der kræves for at evaluere systemet.

Sikkerhedsvurdering

Efter at have forstået og defineret omfanget, udført trusselsmodellering og evalueret de korrekte test, der kræves for fuldt ud at kontrollere applikationen for sikkerhedsfejl, udførte vi vores sikkerhedsvurdering.

Beskrivelse af problemtabel

Udgavetitel

Beskrivelse

Her giver vi en kort beskrivelse af problemet og hvordan det opstod, de trin, vi tog for at finde eller udnytte det, sammen med proof of concept (hvis det er til stede), og hvordan dette problem kan påvirke produktet eller dets brugere. .

Mitigation

Foreslåede løsningsmuligheder for dette problem og links til anbefalede websteder for yderligere afhjælpning.

Sikkerhedsvurderingsresultater

Afhængigheder med kendte sårbarheder

Beskrivelse

NPM-revisionen returnerer flere resultater for kendte sårbarheder i de installerede pakker:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Vi validerede hver enkelt af dem for at sikre, at det ikke påvirker produktionsopbygningen, og fandt ud af, at selv de strenge ikke har en direkte effekt på Tezos Snap. Selvom det betyder, at der ikke er nogen sikkerhedsrisiko lige nu, kan der opstå nye funktioner eller nye sårbarheder i fremtiden.

Mitigation

Det første skridt ville være at opdatere pakkerne til versionerne, hvor det er muligt. På et større billede er der behov for et automatiseret system til at advare om nye sårbarheder, og en proces bør være på plads til at afbøde dem, når kritiske opstår.

Magiske tal

Beskrivelse

Under vores vurdering bemærkede vi brugen af ​​tilsyneladende vilkårlige konstanter uden forklarende kommentarer:

I ovenstående tilfælde er det svært at gætte, hvad der er årsagen til at dividere med 1000 eller gange med 257 uden at vide, hvordan protokollen og selve blockchain fungerer

Mitigation

Det anses for god praksis at give sådanne hårdkodede konstanter beskrivende navne og om nødvendigt tilføje forklarende kommentarer.

Alarmerende metamask-prompt

Beskrivelse

Når du installerer Snap, vises følgende svære at forstå metamask-prompt:

Mitigation

Det er muligvis ikke muligt for Tezos at ændre denne ret skræmmende prompt. Men da det kan være af interesse, besluttede vi at inkludere dette emne som information.

Alarmerende metamask-prompt

Beskrivelse

Under vores vurdering bemærkede vi denne kommentar, hvilket antyder en vis usikkerhed, som kan pege på et underliggende større problem

Vi undersøgte og kunne ikke bekræfte, hvad der er problemet her, som kommentaren henviser til.

Mitigation

Disse kommentarer bør ændres eller fjernes på udgivelsesversionen, eller hvis der er et dybere problem her, bør udviklerne opdatere logikken for, hvorfor dette

Bilag A: Rettelser til sikkerhedsevaluering

Efter en gennemgang fra Sayfer-teamet kan vi bekræfte, at alle sårbarheder er blevet rettet af Tezos-teamet

Indledende commit hash: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Retter commit hash: 0d0c9381a1107c54647d927d4fe99694f332e24d