MetaMask Snap revisionsrapport för Tezos

Ledningssammanfattning

Tezos kontaktade Sayfer Security för att utföra en säkerhetsrevision av Tezos MetaMask Snap.

Innan vi utvärderade ovanstående tjänster höll vi ett kickoffmöte med Tezos tekniska team och fick en översikt över systemet och målen för denna forskning.

Under forskningsperioden på 2 veckor upptäckte vi 4 fynd i systemet.

Sammanfattningsvis bör flera korrigeringar implementeras efter rapporten, men systemets säkerhetsställning är kompetent.

Säkerhetsutvärderingsmetodik

Sayfer använder OWASP WSTG som vår tekniska standard vid granskning av webbapplikationer. Efter att ha fått en grundlig förståelse av systemet bestämde vi oss för vilka OWASP-tester som krävs för att utvärdera systemet.

Säkerhetsbedömning

Efter att ha förstått och definierat omfattningen, utfört hotmodellering och utvärderat de korrekta testerna som krävs för att fullständigt kontrollera applikationen för säkerhetsbrister, utförde vi vår säkerhetsbedömning.

Problemtabell Beskrivning

Nummertitel

BESKRIVNING

Här ger vi en kort beskrivning av problemet och hur det uppstod, stegen vi gjorde för att hitta eller utnyttja det, tillsammans med proof of concept (om det finns) och hur detta problem kan påverka produkten eller dess användare. .

Mitigation

Föreslagna lösningsalternativ för det här problemet och länkar till rekommenderade webbplatser för ytterligare åtgärdande.

Säkerhetsbedömningsresultat

Beroenden med kända sårbarheter

BESKRIVNING

NPM-granskningen returnerar flera resultat för kända sårbarheter i de installerade paketen:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Vi validerade var och en av dem för att se till att det inte påverkar produktionsbygget och fann att även de höggradiga inte har en direkt effekt på Tezos Snap. Även om detta innebär att det inte finns någon säkerhetsrisk just nu, kan nya funktioner eller nya sårbarheter inträffa i framtiden.

Mitigation

Det första steget skulle vara att uppdatera paketen till versionerna där det är möjligt. På en större bildnivå finns det ett behov av ett automatiserat system för att varna om nya sårbarheter och en process bör finnas på plats för att mildra dem när kritiska sådana uppstår.

Magiska siffror

BESKRIVNING

Under vår bedömning märkte vi användningen av till synes godtyckliga konstanter utan förklarande kommentarer:

I fallet ovan är det svårt att gissa vad som är anledningen till att dividera med 1000 eller multiplicera med 257 utan att veta hur protokollet och själva blockkedjan fungerar

Mitigation

Det anses vara god praxis att ge sådana hårdkodade konstanter beskrivande namn, och vid behov lägga till förklarande kommentarer.

Alarmerande metamask-prompt

BESKRIVNING

När du installerar Snap visas följande svårbegripliga metamask-prompt:

Mitigation

Det kanske inte är möjligt för Tezos att ändra denna ganska skrämmande uppmaning. Men eftersom det kan vara av intresse, beslutade vi att ta med denna fråga som information.

Alarmerande metamask-prompt

BESKRIVNING

Under vår bedömning märkte vi denna kommentar, som antyder en viss osäkerhet, som kan peka på ett underliggande större problem

Vi undersökte och kunde inte verifiera vad som är problemet här som kommentaren hänvisar till.

Mitigation

Dessa kommentarer bör ändras eller tas bort på releaseversionen, eller om det finns ett djupare problem här, bör utvecklarna uppdatera logiken för varför detta

Bilaga A: Säkerhetsutvärderingsfixar

Efter en granskning av Sayfer-teamet kan vi bekräfta att alla sårbarheter har åtgärdats av Tezos-teamet

Initial commit hash: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Fixar commit hash: 0d0c9381a1107c54647d927d4fe99694f332e24d