Rapporto di controllo Snap MetaMask per Tezos

Sommario di gestione

Tezos ha contattato Sayfer Security per eseguire un controllo di sicurezza su Tezos MetaMask Snap nel giugno 2023.

Prima di valutare i servizi di cui sopra, abbiamo tenuto un incontro iniziale con il team tecnico di Tezos e abbiamo ricevuto una panoramica del sistema e degli obiettivi di questa ricerca.

Durante il periodo di ricerca di 2 settimane, abbiamo scoperto 4 risultati nel sistema.

In conclusione, a seguito del rapporto dovrebbero essere implementate diverse soluzioni, ma il livello di sicurezza del sistema è adeguato.

Metodologia di valutazione della sicurezza

Sayfer utilizza OWASP WSTG come nostro standard tecnico durante la revisione delle applicazioni web. Dopo aver acquisito una conoscenza approfondita del sistema, abbiamo deciso quali test OWASP sono necessari per valutare il sistema.

Valutazione della sicurezza

Dopo aver compreso e definito l'ambito, eseguito la modellazione delle minacce e valutato i test corretti richiesti per verificare completamente l'eventuale presenza di difetti di sicurezza nell'applicazione, abbiamo eseguito la nostra valutazione della sicurezza.

Descrizione della tabella dei problemi

Titolo del problema

Descrizione

Qui forniamo una breve descrizione del problema e di come si è formato, i passaggi che abbiamo effettuato per individuarlo o sfruttarlo, insieme alla prova di concetto (se presente) e in che modo questo problema può influire sul prodotto o sui suoi utenti. .

Mitigazione

Opzioni di risoluzione suggerite per questo problema e collegamenti a siti consigliati per ulteriori soluzioni.

Risultati della valutazione della sicurezza

Dipendenze con vulnerabilità note

Descrizione

L'audit NPM restituisce più risultati per le vulnerabilità note nei pacchetti installati:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Abbiamo convalidato ciascuno di essi per assicurarci che non influenzi la build di produzione e abbiamo scoperto che anche quelli ad alta gravità non hanno un effetto diretto su Tezos Snap. Sebbene ciò significhi che al momento non vi sono rischi per la sicurezza, in futuro potrebbero verificarsi nuove funzionalità o nuove vulnerabilità.

Mitigazione

Il primo passo sarebbe aggiornare i pacchetti alle versioni ove possibile. A livello più ampio, è necessario un sistema automatizzato che avvisi sulle nuove vulnerabilità e dovrebbe essere in atto un processo per mitigarle quando si presentano quelle critiche.

Numeri magici

Descrizione

Durante la nostra valutazione, abbiamo notato l'uso di costanti apparentemente arbitrarie senza commenti esplicativi:

Nel caso sopra, è difficile indovinare qual è il motivo della divisione per 1000 o della moltiplicazione per 257 senza sapere come funzionano il protocollo e la blockchain stessa

Mitigazione

È considerata buona pratica assegnare nomi descrittivi a tali costanti codificate e, se necessario, aggiungere commenti esplicativi.

Prompt allarmante di Metamask

Descrizione

Durante l'installazione di Snap viene visualizzato il seguente messaggio metamask di difficile comprensione:

Mitigazione

Potrebbe non essere possibile per Tezos modificare questo suggerimento piuttosto spaventoso. Tuttavia, poiché potrebbe essere interessante, abbiamo deciso di includere questo problema come informativo.

Prompt allarmante di Metamask

Descrizione

Durante la nostra valutazione, abbiamo notato questo commento, che implica una certa incertezza, che potrebbe indicare un problema di fondo più grande

Abbiamo indagato e non siamo riusciti a verificare qual è il problema a cui fa riferimento il commento.

Mitigazione

Questi commenti dovrebbero essere modificati o rimossi nella versione di rilascio o, se qui c'è un problema più profondo, gli sviluppatori dovrebbero aggiornare la logica del perché questo

Appendice A: correzioni per la valutazione della sicurezza

Dopo un esame da parte del team Sayfer, possiamo confermare che tutte le vulnerabilità sono state risolte dal team Tezos

Hash di commit iniziale: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Correzioni dell'hash di commit: 0d0c9381a1107c54647d927d4fe99694f332e24d