MetaMask Snap Audit-Bericht für Tezos

Management-Zusammenfassung

Tezos kontaktierte Sayfer Security, um ein Sicherheitsaudit von Tezos MetaMask Snap durchzuführen.

Bevor wir die oben genannten Dienste bewerteten, hielten wir ein Kickoff-Meeting mit dem technischen Team von Tezos ab und erhielten einen Überblick über das System und die Ziele dieser Forschung.

Im Forschungszeitraum von 2 Wochen haben wir 4 Erkenntnisse im System entdeckt.

Zusammenfassend lässt sich sagen, dass nach dem Bericht mehrere Korrekturen implementiert werden sollten, der Sicherheitsstatus des Systems jedoch angemessen ist.

Methodik der Sicherheitsbewertung

Sayfer verwendet OWASP WSTG als unser technischer Standard bei der Überprüfung von Webanwendungen. Nachdem wir uns ein gründliches Verständnis des Systems angeeignet hatten, entschieden wir, welche OWASP-Tests erforderlich sind, um das System zu evaluieren.

Sicherheitsbewertung

Nachdem wir den Umfang verstanden und definiert, eine Bedrohungsmodellierung durchgeführt und die richtigen Tests bewertet hatten, die erforderlich waren, um die Anwendung vollständig auf Sicherheitslücken zu überprüfen, führten wir unsere Sicherheitsbewertung durch.

Beschreibung der Problemtabelle

Titel der Ausgabe

Beschreibung

Hier geben wir eine kurze Beschreibung des Problems und seiner Entstehung, die Schritte, die wir unternommen haben, um es zu finden oder auszunutzen, zusammen mit einem Konzeptnachweis (falls vorhanden) und wie sich dieses Problem auf das Produkt oder seine Benutzer auswirken kann. .

Mitigation

Vorgeschlagene Lösungsoptionen für dieses Problem und Links zu empfohlenen Websites zur weiteren Behebung.

Ergebnisse der Sicherheitsbewertung

Abhängigkeiten mit bekannten Schwachstellen

Beschreibung

Das NPM-Audit gibt mehrere Ergebnisse für bekannte Schwachstellen in den installierten Paketen zurück:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Wir haben jeden einzelnen davon validiert, um sicherzustellen, dass er sich nicht auf den Produktionsaufbau auswirkt, und haben festgestellt, dass selbst die schwerwiegendsten Fehler keinen direkten Einfluss auf Tezos Snap haben. Obwohl dies bedeutet, dass derzeit kein Sicherheitsrisiko besteht, könnten in Zukunft neue Funktionen oder neue Schwachstellen auftreten.

Mitigation

Der erste Schritt bestünde darin, die Pakete nach Möglichkeit auf die neuesten Versionen zu aktualisieren. Im Großen und Ganzen besteht Bedarf an einem automatisierten System, das vor neuen Schwachstellen warnt, und es sollte ein Prozess vorhanden sein, um diese zu entschärfen, wenn kritische Schwachstellen auftreten.

Magische Zahlen

Beschreibung

Bei unserer Untersuchung ist uns die Verwendung scheinbar willkürlicher Konstanten ohne erklärende Kommentare aufgefallen:

Im obigen Fall ist es schwer zu erraten, was der Grund für die Division durch 1000 oder die Multiplikation mit 257 ist, ohne zu wissen, wie das Protokoll und die Blockchain selbst funktionieren

Mitigation

Es gilt als gute Praxis, solchen hartcodierten Konstanten beschreibende Namen zu geben und bei Bedarf erläuternde Kommentare hinzuzufügen.

Alarmierende Metamask-Eingabeaufforderung

Beschreibung

Bei der Installation von Snap erscheint die folgende schwer verständliche Metamask-Eingabeaufforderung:

Mitigation

Es ist für Tezos möglicherweise nicht möglich, diese ziemlich beängstigende Aufforderung zu ändern. Da es jedoch von Interesse sein könnte, haben wir uns entschieden, dieses Problem nur zu Informationszwecken aufzunehmen.

Alarmierende Metamask-Eingabeaufforderung

Beschreibung

Während unserer Bewertung ist uns dieser Kommentar aufgefallen, der eine gewisse Unsicherheit impliziert, die auf ein zugrunde liegendes größeres Problem hinweisen könnte

Wir haben es untersucht und konnten nicht feststellen, wo das Problem liegt, auf das sich der Kommentar bezieht.

Mitigation

Diese Kommentare sollten in der Release-Version geändert oder entfernt werden. Wenn es hier ein tieferes Problem gibt, sollten die Entwickler die Logik aktualisieren, warum dies der Fall ist

Anhang A: Fixes zur Sicherheitsbewertung

Nach einer Prüfung durch das Sayfer-Team können wir bestätigen, dass alle Schwachstellen vom Tezos-Team behoben wurden

Erster Commit-Hash: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Behebt Commit-Hash: 0d0c9381a1107c54647d927d4fe99694f332e24d