Rapport d'audit Metamask Snap pour Qtum

Résumé de gestion

Qtum a contacté Sayfer Security afin d'effectuer des tests d'intrusion sur MetaMask Snap de Qtum en 05/2024.

Avant d'évaluer les services ci-dessus, nous avons organisé une réunion de lancement avec l'équipe technique de Qtum et avons reçu un aperçu du système et des objectifs de cette recherche.

Au cours de la période de recherche de 2 semaines, nous avons découvert 5 vulnérabilités dans le système, dont aucune n'est critique.

En conclusion, plusieurs correctifs devraient être mis en œuvre suite au rapport, mais la posture de sécurité du système est compétente.

Après examen par l'équipe Sayfer, nous certifions que tous les problèmes de sécurité mentionnés dans ce rapport ont été résolus par l'équipe Qtum.

Méthodologie des risques

Chez Sayfer, nous nous engageons à fournir à nos clients des tests d'intrusion de la plus haute qualité. C'est pourquoi nous avons mis en œuvre un modèle complet d'évaluation des risques pour évaluer la gravité de nos constatations et fournir à nos clients les meilleures recommandations possibles pour les atténuer.

Notre modèle d’évaluation des risques repose sur deux facteurs clés : IMPACT et PROBABILITÉ. L'impact fait référence au préjudice potentiel qui pourrait résulter d'un problème, tel qu'une perte financière, une atteinte à la réputation ou un système non opérationnel. La probabilité fait référence à la probabilité qu'un problème se produise, en tenant compte de facteurs tels que la complexité de l'attaque et le nombre d'attaquants potentiels.

En combinant ces deux facteurs, nous pouvons créer une compréhension globale du risque posé par un problème particulier et fournir à nos clients une évaluation claire et exploitable de la gravité du problème. Cette approche nous permet de prioriser nos recommandations et de garantir que nos clients reçoivent les meilleurs conseils possibles sur la façon de protéger leur entreprise.

Le risque est défini comme suit :

Méthodologie d'évaluation de la sécurité

Sayfer utilise OWASP WSTG comme norme technique lors de l'examen des applications Web. Après avoir acquis une compréhension approfondie du système, nous avons décidé quels tests OWASP sont nécessaires pour évaluer le système.

Évaluation de sécurité

Après avoir compris et défini la portée, effectué une modélisation des menaces et évalué les tests corrects requis afin de vérifier complètement l'application pour les failles de sécurité, nous avons effectué notre évaluation de sécurité.

Description de la table de problématique

Titre du problème

Description

Nous fournissons ici une brève description du problème et de la manière dont il s'est formé, des étapes que nous avons suivies pour le trouver ou l'exploiter, ainsi que d'une preuve de concept (le cas échéant) et de la manière dont ce problème peut affecter le produit ou ses utilisateurs.

Mesures

Options de résolution suggérées pour ce problème et liens vers des sites conseillés pour des mesures correctives ultérieures.

Résultats de l'évaluation de la sécurité

Aucune méthode pour supprimer les réseaux ajoutés

Description

Le code implémente la possibilité d'ajouter des réseaux supplémentaires, étendant leur liste au-delà de celle par défaut. Cependant, il a été noté qu'il n'existe aucun moyen de les supprimer sauf en réinstallant le composant logiciel enfichable. Cette fonctionnalité était probablement prévue, car il existe une fonction removeNetwork(), mais il n'est pas possible de l'appeler à partir de méthodes accessibles au public.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

Mesures

Nous recommandons de mettre en œuvre cette méthode, comme cela était probablement prévu.

Invite de confirmation manquante pour l'exportation de clés privées

Description

Dans les fonctions les plus critiques du snap, une boîte de dialogue, qui informe l'utilisateur de l'action en cours et demande son approbation, s'affiche.

Cependant, cette mesure de sécurité n'est pas présente dans la méthode WalletExportPrivateKey, celle utilisée pour afficher la clé privée sur l'écran snap. S'il est invoqué par erreur, il affichera immédiatement la clé privée.

Mesures

Avant d'afficher la clé privée, ajoutez une invite de confirmation demandant l'approbation de l'utilisateur.

Plusieurs méthodes non implémentées

Description

Une grande partie des méthodes présentes dans le snap semblent rester inutilisées. Seul le passe-partout qui les entoure existe, mais aucune logique concrète.

Mesures

Nous vous recommandons de revoir les méthodes que vous souhaitez implémenter dans votre snap et de vous assurer qu'elles contiennent toutes une logique réelle. Il ne doit pas être possible pour l'utilisateur d'appeler des méthodes inutiles que vous n'avez pas l'intention d'implémenter.

Code redondant

Description

Au cours de notre analyse, nous avons remarqué que deux méthodes RPC, EthRequestAccounts et EthAccounts, semblent faire la même chose et renvoyer les mêmes valeurs.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

Dans les deux cas, ces méthodes récupèrent les données du portefeuille actif en utilisant getWallet() puis renvoient son adresse. Actuellement, la seule différence est qu'EthAccounts enregistre, contrairement à EthRequestAccounts.

Mesures

Envisagez soit de supprimer l'une des méthodes, soit d'en modifier une pour la différencier de l'autre.

Commentaires TODO restants

Description

La base de code contient plusieurs commentaires TODO ainsi que des sections de code commenté qui ne sont plus utilisées.

Bien que cela soit acceptable dans un environnement de test, cela devrait être éliminé en production. De tels commentaires peuvent fournir à une partie prenante potentielle des informations précieuses sur les fonctionnalités manquantes, les mesures de sécurité et les réflexions des développeurs, qui peuvent être utilisées pour profiler les attaques.

Mesures

Nous vous suggérons de supprimer les commentaires marqués comme TODO et les fragments de code inutilisés dans votre branche de production.