Informe de auditoría instantánea de MetaMask para Tezos

Resumen de gestión

Tezos se puso en contacto con Sayfer Security para realizar una auditoría de seguridad en Tezos MetaMask Snap en junio de 2023.

Antes de evaluar los servicios anteriores, realizamos una reunión inicial con el equipo técnico de Tezos y recibimos una descripción general del sistema y los objetivos de esta investigación.

Durante el período de investigación de 2 semanas, descubrimos 4 hallazgos en el sistema.

En conclusión, se deben implementar varias correcciones después del informe, pero la postura de seguridad del sistema es competente.

Metodología de Evaluación de Seguridad

usos sayfer OWASP WSTG como nuestro estándar técnico al revisar aplicaciones web. Después de obtener una comprensión profunda del sistema, decidimos qué pruebas OWASP se requieren para evaluar el sistema.

Evaluacion de seguridad

Después de comprender y definir el alcance, realizar modelos de amenazas y evaluar las pruebas correctas necesarias para verificar completamente la aplicación en busca de fallas de seguridad, realizamos nuestra evaluación de seguridad.

Descripción de la tabla de problemas

Título del problema

Descripción

Aquí proporcionamos una breve descripción del problema y cómo se formó, los pasos que seguimos para encontrarlo o explotarlo, junto con una prueba de concepto (si está presente) y cómo este problema puede afectar al producto o a sus usuarios. .

Mitigación

Opciones de resolución sugeridas para este problema y enlaces a sitios recomendados para una mayor solución.

Conclusiones de la evaluación de seguridad

Dependencias con vulnerabilidades conocidas

Descripción

La auditoría de NPM arroja múltiples resultados para vulnerabilidades conocidas en los paquetes instalados:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Validamos cada uno de ellos para asegurarnos de que no afecte la construcción de producción y descubrimos que incluso los de alta gravedad no tienen un efecto directo en Tezos Snap. Si bien esto significa que no existe ningún riesgo de seguridad en este momento, es posible que aparezcan nuevas funciones o vulnerabilidades en el futuro.

Mitigación

El primer paso sería actualizar los paquetes a las versiones donde sea posible. A un nivel más amplio, es necesario un sistema automatizado para alertar sobre nuevas vulnerabilidades y debe existir un proceso para mitigarlas cuando surjan vulnerabilidades críticas.

Números mágicos

Descripción

Durante nuestra evaluación, notamos el uso de constantes aparentemente arbitrarias sin comentarios explicativos:

En el caso anterior, es difícil adivinar cuál es el motivo de dividir por 1000 o multiplicar por 257 sin saber cómo funciona el protocolo y la propia cadena de bloques.

Mitigación

Se considera una buena práctica dar nombres descriptivos a estas constantes codificadas y, si es necesario, agregar comentarios explicativos.

Aviso de metamáscara alarmante

Descripción

Al instalar Snap, aparece el siguiente mensaje de metamáscara difícil de entender:

Mitigación

Puede que Tezos no pueda cambiar este aviso bastante aterrador. Sin embargo, dado que puede ser de interés, decidimos incluir este tema a título informativo.

Aviso de metamáscara alarmante

Descripción

Durante nuestra evaluación, notamos este comentario, que implica cierta incertidumbre, lo que podría indicar un problema subyacente mayor.

Investigamos y no pudimos verificar cuál es el problema al que se refiere el comentario.

Mitigación

Estos comentarios deben cambiarse o eliminarse en la versión de lanzamiento, o si hay un problema más profundo aquí, los desarrolladores deben actualizar la lógica de por qué esto

Apéndice A: correcciones de evaluación de seguridad

Después de una revisión por parte del equipo de Sayfer, podemos confirmar que todas las vulnerabilidades han sido solucionadas por el equipo de Tezos.

Hash de confirmación inicial: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Corrige el hash de confirmación: 0d0c9381a1107c54647d927d4fe99694f332e24d