Отчет MetaMask Snap Audit для Tezos

Резюме управления

Tezos связался с Sayfer Security с просьбой провести аудит безопасности Tezos MetaMask Snap в июне 2023 года.

Прежде чем оценить вышеуказанные услуги, мы провели стартовую встречу с технической командой Tezos и получили обзор системы и целей этого исследования.

За двухнедельный период исследования мы обнаружили в системе 2 вывода.

В заключение следует отметить, что после отчета необходимо внести несколько исправлений, но уровень безопасности системы является компетентным.

Методология оценки безопасности

Сайфер использует ОВАСП ВСТГ в качестве нашего технического стандарта при рассмотрении веб-приложений. Получив полное представление о системе, мы решили, какие тесты OWASP необходимы для ее оценки.

Оценка безопасности

После понимания и определения области применения, выполнения моделирования угроз и оценки правильных тестов, необходимых для полной проверки приложения на наличие недостатков безопасности, мы провели оценку безопасности.

Описание таблицы проблем

Название проблемы

Описание

Здесь мы даем краткое описание проблемы и того, как она возникла, шаги, которые мы предприняли для ее обнаружения или использования, а также доказательство концепции (если таковое имеется), а также то, как эта проблема может повлиять на продукт или его пользователей. .

риска

Предлагаемые варианты решения этой проблемы и ссылки на рекомендованные сайты для дальнейшего устранения.

Результаты оценки безопасности

Зависимости с известными уязвимостями

Описание

Аудит NPM возвращает несколько результатов для известных уязвимостей в установленных пакетах:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Мы проверили каждую из них, чтобы убедиться, что она не влияет на производственную сборку, и обнаружили, что даже самые серьезные из них не оказывают прямого влияния на Tezos Snap. Хотя это означает, что на данный момент угрозы безопасности нет, в будущем могут появиться новые функции или новые уязвимости.

риска

Первым шагом будет обновление пакетов до версий, где это возможно. На более широком уровне существует необходимость в автоматизированной системе, которая будет предупреждать о новых уязвимостях, и должен быть внедрен процесс их смягчения при возникновении критических.

Волшебные числа

Описание

В ходе нашей оценки мы заметили использование, казалось бы, произвольных констант без поясняющих комментариев:

В приведенном выше случае сложно догадаться, в чем причина деления на 1000 или умножения на 257, не зная, как работает протокол и сам блокчейн.

риска

Хорошей практикой считается давать таким жестко запрограммированным константам описательные имена и при необходимости добавлять пояснительные комментарии.

Тревожная подсказка метамаски

Описание

При установке Snap появляется следующая непонятная подсказка метамаски:

риска

Возможно, Tezos не сможет изменить это довольно пугающее приглашение. Однако, поскольку это может представлять интерес, мы решили включить этот выпуск как информационный.

Тревожная подсказка метамаски

Описание

В ходе нашей оценки мы заметили этот комментарий, подразумевающий определенную неопределенность, которая может указывать на более серьезную проблему.

Мы провели расследование и не смогли выяснить, в чем проблема, о которой идет речь в комментарии.

риска

Эти комментарии должны быть изменены или удалены в релизной версии, или, если здесь есть более глубокая проблема, разработчикам следует обновить логику, объясняющую, почему это так.

Приложение A. Исправления оценки безопасности

После проверки командой Sayfer мы можем подтвердить, что все уязвимости устранены командой Tezos.

Хэш первоначального коммита: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Исправления хэша коммита: 0d0c9381a1107c54647d927d4fe99694f332e24d