דוח ביקורת Snap MetaMask עבור Tezos

תקציר ניהול

Tezos יצרה קשר עם Sayfer Security על מנת לבצע ביקורת אבטחה על Tezos MetaMask Snap.

לפני הערכת השירותים הנ"ל, קיימנו פגישת פתיחה עם הצוות הטכני של Tezos וקיבלנו סקירה כללית של המערכת והמטרות למחקר זה.

במהלך תקופת המחקר של שבועיים, גילינו 2 ממצאים במערכת.

לסיכום, יש ליישם מספר תיקונים בעקבות הדוח, אך עמדת האבטחה של המערכת מוכשרת.

מתודולוגיית הערכת אבטחה

סייפר משתמש OWASP WSTG כסטנדרט הטכני שלנו בעת סקירת יישומי אינטרנט. לאחר הבנה מעמיקה של המערכת החלטנו אילו בדיקות OWASP נדרשות להערכת המערכת.

הערכת אבטחה

לאחר הבנת והגדרת ההיקף, ביצוע מודלים של איומים והערכת הבדיקות הנכונות הנדרשות על מנת לבדוק את האפליקציה במלואה לגבי פגמי אבטחה, ביצענו את הערכת האבטחה שלנו.

תיאור טבלת הנושא

כותרת גיליון

תיאור

כאן אנו מספקים תיאור קצר של הבעיה וכיצד היא נוצרה, הצעדים שעשינו כדי למצוא או לנצל אותה, יחד עם הוכחת הרעיון (אם קיים), וכיצד בעיה זו יכולה להשפיע על המוצר או המשתמשים בו. .

הקלות

הציע אפשרויות פתרון לבעיה זו וקישורים לאתרים מומלצים לתיקון נוסף.

ממצאי הערכת אבטחה

תלות עם פגיעויות ידועות

תיאור

ביקורת NPM מחזירה מספר תוצאות עבור פגיעויות ידועות בחבילות המותקנות:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

אימתנו כל אחד מהם כדי לוודא שזה לא משפיע על מבנה הייצור, וגילינו שאפילו לאלה בדרגת החומרה הגבוהה אין השפעה ישירה על Tezos Snap. למרות שזה אומר שאין סיכון אבטחה כרגע, תכונות חדשות או פרצות חדשות עשויות להתרחש בעתיד.

הקלות

הצעד הראשון יהיה לעדכן את החבילות לגרסאות במידת האפשר ברמת התמונה הרחבה יותר, יש צורך במערכת אוטומטית שתתריע על נקודות תורפה חדשות וצריך להתקין תהליך שיפחית אותן כאשר מתעוררות קריטיות.

מספרי קסם

תיאור

במהלך ההערכה שלנו, שמנו לב לשימוש בקבועים שרירותיים לכאורה ללא הערות הסבר:

במקרה שלמעלה, קשה לנחש מה הסיבה לחלוקה ב-1000 או להכפיל ב-257 מבלי לדעת איך הפרוטוקול והבלוקצ'יין עצמו עובדים

הקלות

זה נחשב לתרגול טוב לתת לקבועים מקודדים כאלה שמות תיאוריים, ובמידת הצורך להוסיף הערות הסבר.

הודעת Metamask מדאיגה

תיאור

בעת התקנת Snap מופיעה ההנחיה הבאה של המטאמסק הקשה להבנה:

הקלות

ייתכן לטזוס לא יהיה אפשרי לשנות את ההנחיה המפחידה הזו. עם זאת, מכיוון שזה עשוי לעניין, החלטנו לכלול נושא זה כמידע.

הודעת Metamask מדאיגה

תיאור

במהלך ההערכה שלנו, שמנו לב להערה הזו, מרמזת על אי ודאות מסוימת, שעלולה להצביע על בעיה גדולה יותר.

בדקנו ולא הצלחנו לאמת מה הבעיה כאן שבה ההערה מתייחסת.

הקלות

יש לשנות או להסיר הערות אלו בגרסת השחרור, או אם יש כאן בעיה עמוקה יותר, על המפתחים לעדכן את ההיגיון מדוע זה

נספח א': תיקוני הערכת אבטחה

לאחר בדיקה של צוות Sayfer, אנו יכולים לאשר שכל הפגיעויות תוקנו על ידי צוות Tezos

Hash commit ראשוני: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
תיקוני commit hash: 0d0c9381a1107c54647d927d4fe99694f332e24d