Informe de auditoría instantánea de Metamask para Qtum

Resumen de gestión

Qtum se puso en contacto con Sayfer Security para realizar pruebas de penetración en MetaMask Snap de Qtum en 05/2024.

Antes de evaluar los servicios anteriores, realizamos una reunión inicial con el equipo técnico de Qtum y recibimos una descripción general del sistema y los objetivos de esta investigación.

Durante el período de investigación de 2 semanas, descubrimos 5 vulnerabilidades en el sistema, ninguna de ellas crítica.

En conclusión, se deben implementar varias correcciones después del informe, pero la postura de seguridad del sistema es competente.

Después de una revisión por parte del equipo de Sayfer, certificamos que todos los problemas de seguridad mencionados en este informe han sido abordados por el equipo de Qtum.

Metodología de Riesgo

En Sayfer, estamos comprometidos a ofrecer pruebas de penetración de la más alta calidad a nuestros clientes. Es por eso que hemos implementado un modelo integral de evaluación de riesgos para evaluar la gravedad de nuestros hallazgos y brindar a nuestros clientes las mejores recomendaciones posibles para la mitigación.

Nuestro modelo de evaluación de riesgos se basa en dos factores clave: IMPACTO y PROBABILIDAD. El impacto se refiere al daño potencial que podría resultar de un problema, como pérdidas financieras, daños a la reputación o un sistema no operativo. La probabilidad se refiere a la probabilidad de que ocurra un problema, teniendo en cuenta factores como la complejidad del ataque y la cantidad de atacantes potenciales.

Al combinar estos dos factores, podemos crear una comprensión integral del riesgo que plantea un problema en particular y brindar a nuestros clientes una evaluación clara y procesable de la gravedad del problema. Este enfoque nos permite priorizar nuestras recomendaciones y garantizar que nuestros clientes reciban el mejor asesoramiento posible sobre cómo proteger su negocio.

El riesgo se define de la siguiente manera:

Metodología de Evaluación de Seguridad

usos sayfer OWASP WSTG como nuestro estándar técnico al revisar aplicaciones web. Después de obtener una comprensión profunda del sistema, decidimos qué pruebas OWASP se requieren para evaluar el sistema.

Evaluacion de seguridad

Después de comprender y definir el alcance, realizar modelos de amenazas y evaluar las pruebas correctas necesarias para verificar completamente la aplicación en busca de fallas de seguridad, realizamos nuestra evaluación de seguridad.

Descripción de la tabla de problemas

Título del problema

Descripción

Aquí proporcionamos una breve descripción del problema y cómo se formó, los pasos que seguimos para encontrarlo o explotarlo, junto con una prueba de concepto (si está presente) y cómo este problema puede afectar al producto o a sus usuarios.

Mitigación

Opciones de resolución sugeridas para este problema y enlaces a sitios recomendados para una mayor solución.

Conclusiones de la evaluación de seguridad

No hay método para eliminar redes agregadas

Descripción

El código implementa la capacidad de agregar redes adicionales, ampliando su lista más allá de la predeterminada. Sin embargo, se observó que no hay forma de eliminarlos excepto reinstalando el complemento. Esta funcionalidad probablemente fue planeada, porque existe una función removeNetwork(), pero no es posible llamarla desde métodos disponibles públicamente.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

Mitigación

Recomendamos implementar este método, como probablemente se pretendía.

Falta mensaje de confirmación para exportar claves privadas

Descripción

En la mayoría de las funciones críticas del complemento, se muestra un cuadro de diálogo que informa al usuario sobre la acción que se está realizando y solicita su aprobación.

Sin embargo, esta medida de seguridad no está presente en el método WalletExportPrivateKey, el que se utiliza para mostrar la clave privada en la pantalla instantánea. Si se invoca por error, mostrará inmediatamente la clave privada.

Mitigación

Antes de mostrar la clave privada, agregue un mensaje de confirmación solicitando la aprobación del usuario.

Múltiples métodos no implementados

Descripción

Una gran parte de los métodos presentes en el complemento parecen no utilizarse. Sólo existe el texto estándar que los rodea, pero no ninguna lógica concreta.

Mitigación

Recomendamos revisar los métodos que le gustaría implementar en su complemento y asegurarse de que todos contengan una lógica real. El usuario no debería poder llamar a métodos innecesarios que no pretende implementar.

Código redundante

Descripción

Durante nuestro análisis, notamos que dos métodos RPC, EthRequestAccounts y EthAccounts, parecen hacer lo mismo y devolver los mismos valores.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

En ambos casos, estos métodos recuperan los datos de la billetera activa usando getWallet() y luego devuelven su dirección. Actualmente, la única diferencia es que EthAccounts registra mientras que EthRequestAccounts no.

Mitigación

Considere eliminar uno de los métodos o modificar uno para diferenciarlo del otro.

Comentarios TODO sobrantes

Descripción

El código base contiene varios comentarios TODO y también secciones de código comentado que ya no se utiliza.

Si bien esto es aceptable en un entorno de prueba, debe eliminarse en producción. Dichos comentarios pueden proporcionar a una posible parte interesada información valiosa sobre las funcionalidades faltantes, las medidas de seguridad y las opiniones de los desarrolladores, que pueden usarse para perfilar los ataques.

Mitigación

Sugerimos eliminar los comentarios marcados como TODO y los fragmentos de código no utilizados en su rama de producción.