Rapport d'audit MetaMask Snap pour Tezos

Résumé de gestion

Tezos a contacté Sayfer Security afin d'effectuer un audit de sécurité sur Tezos MetaMask Snap en juin 2023.

Avant d'évaluer les services ci-dessus, nous avons organisé une réunion de lancement avec l'équipe technique de Tezos et avons reçu un aperçu du système et des objectifs de cette recherche.

Au cours de la période de recherche de 2 semaines, nous avons découvert 4 résultats dans le système.

En conclusion, plusieurs correctifs devraient être mis en œuvre suite au rapport, mais la posture de sécurité du système est compétente.

Méthodologie d'évaluation de la sécurité

Sayfer utilise OWASP WSTG comme norme technique lors de l'examen des applications Web. Après avoir acquis une compréhension approfondie du système, nous avons décidé quels tests OWASP sont nécessaires pour évaluer le système.

Évaluation de sécurité

Après avoir compris et défini la portée, effectué une modélisation des menaces et évalué les tests corrects requis afin de vérifier complètement l'application pour les failles de sécurité, nous avons effectué notre évaluation de sécurité.

Description de la table de problématique

Titre du problème

Description

Nous fournissons ici une brève description du problème et de la manière dont il s'est formé, des étapes que nous avons suivies pour le trouver ou l'exploiter, ainsi que d'une preuve de concept (le cas échéant) et de la manière dont ce problème peut affecter le produit ou ses utilisateurs. .

Atténuation

Options de résolution suggérées pour ce problème et liens vers des sites conseillés pour des mesures correctives ultérieures.

Résultats de l'évaluation de la sécurité

Dépendances avec des vulnérabilités connues

Description

L'audit NPM renvoie plusieurs résultats pour les vulnérabilités connues dans les packages installés :

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Nous avons validé chacun d'eux pour nous assurer qu'il n'affecte pas la version de production, et avons constaté que même les plus graves n'ont pas d'effet direct sur Tezos Snap. Bien que cela signifie qu’il n’y a aucun risque de sécurité pour le moment, de nouvelles fonctionnalités ou de nouvelles vulnérabilités pourraient survenir à l’avenir.

Atténuation

La première étape serait de mettre à jour les packages vers les versions lorsque cela est possible. À un niveau plus large, il est nécessaire de disposer d'un système automatisé pour alerter des nouvelles vulnérabilités et un processus devrait être en place pour les atténuer lorsque des vulnérabilités critiques surviennent.

Numéros magiques

Description

Lors de notre évaluation, nous avons remarqué l’utilisation de constantes apparemment arbitraires sans commentaires explicatifs :

Dans le cas ci-dessus, il est difficile de deviner quelle est la raison de diviser par 1000 ou de multiplier par 257 sans savoir comment fonctionnent le protocole et la blockchain elle-même.

Atténuation

Il est considéré comme une bonne pratique de donner à ces constantes codées en dur des noms descriptifs et, si nécessaire, d'ajouter des commentaires explicatifs.

Invite de métamasque alarmante

Description

Lors de l'installation de Snap, l'invite de métamasque suivante, difficile à comprendre, apparaît :

Atténuation

Il n’est peut-être pas possible pour Tezos de modifier cette invite plutôt effrayante. Cependant, comme cela peut être intéressant, nous avons décidé d'inclure cette question à titre informatif.

Invite de métamasque alarmante

Description

Lors de notre évaluation, nous avons remarqué ce commentaire, impliquant une certaine incertitude, qui pourrait indiquer un problème sous-jacent plus important.

Nous avons enquêté et n'avons pas pu vérifier quel est le problème auquel le commentaire fait référence.

Atténuation

Ces commentaires doivent être modifiés ou supprimés dans la version finale, ou s'il y a un problème plus profond ici, les développeurs doivent mettre à jour la logique expliquant pourquoi cela

Annexe A : Correctifs d'évaluation de la sécurité

Après examen par l'équipe Sayfer, nous pouvons confirmer que toutes les vulnérabilités ont été corrigées par l'équipe Tezos.

Hachage de validation initial : 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Corrige le hachage de validation : 0d0c9381a1107c54647d927d4fe99694f332e24d