Metamask Snap revisionsrapport för Peersyst

Ledningssammanfattning

Peersyst kontaktade Sayfer Security för att utföra penetrationstestning på Peersysts MetaMask Snap i augusti 2024.

Innan vi utvärderade ovanstående tjänster höll vi ett kickoff-möte med Peersysts tekniska team och fick en översikt över systemet och målen för denna forskning.

Under forskningsperioden på två veckor upptäckte vi två sårbarheter i systemet.

Sammanfattningsvis bör flera korrigeringar implementeras efter rapporten, men systemets säkerhetsställning är kompetent.

Efter en granskning av Sayfer-teamet intygar vi att alla säkerhetsproblem som nämns i denna rapport har åtgärdats av Peersyst-teamet.

Riskmetodik

På Sayfer har vi åtagit oss att leverera penetrationstestning av högsta kvalitet till våra kunder. Det är därför vi har implementerat en omfattande riskbedömningsmodell för att utvärdera hur allvarliga våra fynd är och ge våra kunder bästa möjliga rekommendationer för begränsning.

Vår riskbedömningsmodell bygger på två nyckelfaktorer: IMPACT och SANNOLIKHET. Påverkan hänvisar till den potentiella skada som kan bli följden av ett problem, såsom ekonomisk förlust, skada på rykte eller ett icke-operativt system. Sannolikhet avser sannolikheten att ett problem kommer att inträffa, med hänsyn till faktorer som attackens komplexitet och antalet potentiella angripare.

Genom att kombinera dessa två faktorer kan vi skapa en heltäckande förståelse för risken för en viss fråga och ge våra kunder en tydlig och handlingsbar bedömning av problemets allvar. Detta tillvägagångssätt gör att vi kan prioritera våra rekommendationer och säkerställa att våra kunder får bästa möjliga råd om hur de kan skydda sin verksamhet.

Risk definieras enligt följande:

Säkerhetsutvärderingsmetodik

Sayfer använder OWASP WSTG som vår tekniska standard vid granskning av webbapplikationer. Efter att ha fått en grundlig förståelse av systemet bestämde vi oss för vilka OWASP-tester som krävs för att utvärdera systemet.

Säkerhetsbedömning

Efter att ha förstått och definierat omfattningen, utfört hotmodellering och utvärderat de korrekta tester som krävs för att fullständigt kontrollera applikationen för säkerhetsbrister, utförde vi vår säkerhetsbedömning.

Problemtabell Beskrivning

Nummertitel

BESKRIVNING

Här ger vi en kort beskrivning av problemet och hur det uppstod, stegen vi gjorde för att hitta eller utnyttja det, tillsammans med proof of concept (om det finns) och hur detta problem kan påverka produkten eller dess användare.

Mitigation

Föreslagna lösningsalternativ för det här problemet och länkar till rekommenderade webbplatser för ytterligare åtgärdande.

Säkerhetsbedömningsresultat

Användning av föråldrade funktioner

BESKRIVNING

Snappen använder metoder från snaps-sdk bibliotek, som t.ex avdelare, rubrik, panel, text och kopierbar, som markeras som föråldrade när du skapar dialoger.

Metamask föreslår att de byts ut mot nya JSX-komponenter. Att använda kod som inte längre stöds av dess skapare anses vara en dålig säkerhetspraxis.

Mitigation

Vi föreslår att du följer Metamasks förslag och använder JSX-komponenter som de stöder som en del av deras SDK.

Saknar validering i ChangeNetworkHandler

BESKRIVNING

ChangeNetworkHandler tillåter ändring av den blockkedja som stöds, men bekräftar inte att det nya nätverket skiljer sig från det gamla.

Mitigation

När det gamla och det nya nätverket är identiska bör användaren få feedback som informerar dem om att deras åtgärd inte kommer att ha någon effekt.