Metamask Snap revisionsrapport för Qtum

Ledningssammanfattning

Qtum kontaktade Sayfer Security för att utföra penetrationstestning på Qtums MetaMask Snap 05/2024.

Innan vi bedömde ovanstående tjänster höll vi ett kickoffmöte med Qtums tekniska team och fick en översikt över systemet och målen för denna forskning.

Under forskningsperioden på 2 veckor upptäckte vi 5 sårbarheter i systemet, ingen av dem kritisk.

Sammanfattningsvis bör flera korrigeringar implementeras efter rapporten, men systemets säkerhetsställning är kompetent.

Efter en granskning av Sayfer-teamet intygar vi att alla säkerhetsproblem som nämns i denna rapport har åtgärdats av Qtum-teamet.

Riskmetodik

På Sayfer har vi åtagit oss att leverera penetrationstestning av högsta kvalitet till våra kunder. Det är därför vi har implementerat en omfattande riskbedömningsmodell för att utvärdera hur allvarliga våra fynd är och ge våra kunder bästa möjliga rekommendationer för begränsning.

Vår riskbedömningsmodell bygger på två nyckelfaktorer: IMPACT och SANNOLIKHET. Påverkan hänvisar till den potentiella skada som kan bli följden av ett problem, såsom ekonomisk förlust, skada på rykte eller ett icke-operativt system. Sannolikhet avser sannolikheten att ett problem kommer att inträffa, med hänsyn till faktorer som attackens komplexitet och antalet potentiella angripare.

Genom att kombinera dessa två faktorer kan vi skapa en heltäckande förståelse för risken för en viss fråga och ge våra kunder en tydlig och handlingsbar bedömning av problemets allvar. Detta tillvägagångssätt gör att vi kan prioritera våra rekommendationer och säkerställa att våra kunder får bästa möjliga råd om hur de kan skydda sin verksamhet.

Risk definieras enligt följande:

Säkerhetsutvärderingsmetodik

Sayfer använder OWASP WSTG som vår tekniska standard vid granskning av webbapplikationer. Efter att ha fått en grundlig förståelse av systemet bestämde vi oss för vilka OWASP-tester som krävs för att utvärdera systemet.

Säkerhetsbedömning

Efter att ha förstått och definierat omfattningen, utfört hotmodellering och utvärderat de korrekta testerna som krävs för att fullständigt kontrollera applikationen för säkerhetsbrister, utförde vi vår säkerhetsbedömning.

Problemtabell Beskrivning

Nummertitel

BESKRIVNING

Här ger vi en kort beskrivning av problemet och hur det uppstod, stegen vi gjorde för att hitta eller utnyttja det, tillsammans med proof of concept (om det finns) och hur detta problem kan påverka produkten eller dess användare.

Mitigation

Föreslagna lösningsalternativ för det här problemet och länkar till rekommenderade webbplatser för ytterligare åtgärdande.

Säkerhetsbedömningsresultat

Ingen metod för att ta bort tillagda nätverk

BESKRIVNING

Koden implementerar möjligheten att lägga till ytterligare nätverk, vilket utökar deras lista utöver standard. Det noterades dock att det inte finns något sätt att ta bort dem förutom genom att installera om snappen. Denna funktionalitet var förmodligen planerad, eftersom det finns en removeNetwork()-funktion, men det är inte möjligt att anropa den från allmänt tillgängliga metoder.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

Mitigation

Vi rekommenderar att du implementerar denna metod, som förmodligen var tänkt.

Saknas bekräftelseprompt för export av privata nycklar

BESKRIVNING

I de flesta kritiska funktionerna på ett ögonblick visas en dialogruta som informerar användaren om den åtgärd som utförs och begär deras godkännande.

Denna säkerhetsåtgärd finns dock inte i WalletExportPrivateKey-metoden, den som används för att visa den privata nyckeln på snapskärmen. Om den anropas av misstag skulle den omedelbart visa den privata nyckeln.

Mitigation

Innan du visar den privata nyckeln, lägg till en bekräftelseprompt som begär användarens godkännande.

Flera oimplementerade metoder

BESKRIVNING

En stor del av metoderna som finns i snappen verkar lämnas oanvända. Endast pannplattan som omger dem finns, men ingen konkret logik.

Mitigation

Vi rekommenderar att du granskar de metoder du vill implementera i din snap och se till att de alla innehåller faktisk logik. Det ska inte vara möjligt för användaren att anropa onödiga metoder som du inte har för avsikt att implementera.

Redundant kod

BESKRIVNING

Under vår analys har vi märkt att två RPC-metoder, EthRequestAccounts och EthAccounts, verkar göra samma sak och returnera samma värden.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

I båda fallen hämtar dessa metoder den aktiva plånbokens data genom att använda getWallet() och returnerar sedan dess adress. För närvarande är den enda skillnaden att EthAccounts loggar medan EthRequestAccounts inte gör det.

Mitigation

Överväg att antingen ta bort en av metoderna eller modifiera en för att skilja den från den andra

Återstående TODO-kommentarer

BESKRIVNING

Kodbasen innehåller flera TODO-kommentarer och även delar av kommenterad kod som inte längre används.

Även om detta är acceptabelt i en testmiljö, bör det elimineras i produktionen. Sådana kommentarer kan ge en potentiell intressent värdefull information om saknade funktioner, säkerhetsåtgärder och utvecklares tankar, som kan användas för att profilera attacker.

Mitigation

Vi föreslår att du tar bort kommentarer markerade som TODO och oanvända kodfragment i din produktionsgren.