Звіт про миттєвий аудит MetaMask для Tezos

Резюме управління

Tezos зв’язався з Sayfer Security, щоб провести аудит безпеки Tezos MetaMask Snap у червні 2023 року.

Перш ніж оцінити вищевказані послуги, ми провели стартову нараду з технічною командою Tezos і отримали огляд системи та цілей цього дослідження.

За 2 тижні дослідження ми виявили 4 знахідки в системі.

Підсумовуючи, слід зазначити, що після звіту слід внести кілька виправлень, але стан безпеки системи є компетентним.

Методологія оцінки безпеки

Сейфер використовує OWASP WSTG як наш технічний стандарт під час перевірки веб-додатків. Отримавши повне розуміння системи, ми вирішили, які тести OWASP потрібні для оцінки системи.

Оцінка безпеки

Після розуміння та визначення обсягу, виконання моделювання загроз та оцінки правильних тестів, необхідних для повної перевірки програми на наявність недоліків безпеки, ми виконали нашу оцінку безпеки.

Опис таблиці проблем

Назва випуску

Опис

Тут ми надаємо короткий опис проблеми та її виникнення, кроки, які ми вжили для її пошуку чи використання, разом із доказом концепції (якщо є) і як ця проблема може вплинути на продукт або його користувачів. .

Пом'якшення

Запропоновані варіанти вирішення цієї проблеми та посилання на рекомендовані сайти для подальшого усунення.

Результати оцінки безпеки

Залежності з відомими вразливими місцями

Опис

Аудит NPM повертає кілька результатів для відомих уразливостей у встановлених пакетах:

  npm audit
# npm audit report
engine.io 5.1.0 - 6.4.1
Severity: moderate
engine.io Uncaught Exception vulnerability -
https://github.com/advisories/GHSA-q9mw-68c2-j6m5
fix available via `npm audit fix`
node_modules/engine.io
socket.io 4.1.0 - 4.6.0-alpha1
Depends on vulnerable versions of engine.io
node_modules/socket.io
gatsby 1.9.130 - 4.25.7 || 5.4.0-next.0 - 5.9.1
Depends on vulnerable versions of gatsby-cli
Depends on vulnerable versions of latest-version
Depends on vulnerable versions of socket.io
node_modules/gatsby
got <11.8.5
Severity: moderate
Got allows a redirect to a UNIX socket -
https://github.com/advisories/GHSA-pfrx-2q88-qq97
fix available via `npm audit fix`
node_modules/package-json/node_modules/got
package-json <=6.5.0
Depends on vulnerable versions of got
node_modules/package-json
latest-version 0.2.0 - 5.1.0
Depends on vulnerable versions of package-json
node_modules/latest-version
update-notifier 0.2.0 - 5.1.0
Depends on vulnerable versions of latest-version
node_modules/update-notifier
gatsby-cli 1.1.27 - 4.25.0
Depends on vulnerable versions of update-notifier
node_modules/gatsby-cli
13
request *
Severity: moderate
Server-Side Request Forgery in Request -
https://github.com/advisories/GHSA-p8p7-x288-28g6
fix available via `npm audit fix`
node_modules/request
node-gyp <=7.1.2
Depends on vulnerable versions of request
node_modules/@npmcli/run-script/node_modules/node-gyp
@npmcli/run-script 1.1.1 - 1.8.6
Depends on vulnerable versions of node-gyp
node_modules/@npmcli/run-script
@lavamoat/allow-scripts <=2.3.0
Depends on vulnerable versions of @npmcli/run-script
node_modules/@lavamoat/allow-scripts
socket.io-parser 4.0.4 - 4.2.2
Severity: high
Insufficient validation when decoding a Socket.IO packet -
https://github.com/advisories/GHSA-cqmj-92xf-r6r9
fix available via `npm audit fix`
node_modules/socket.io-parser
webpack 5.0.0 - 5.75.0
Severity: high
Cross-realm object access in Webpack 5 -
https://github.com/advisories/GHSA-hc6q-2mpp-qw7j
fix available via `npm audit fix`
node_modules/webpack
yaml 2.0.0-5 - 2.2.1
Severity: high
Uncaught Exception in yaml - https://github.com/advisories/GHSA-f9xv-q969-pqx4
fix available via `npm audit fix`
node_modules/yaml-loader/node_modules/yaml 

Ми перевірили кожну з них, щоб переконатися, що вона не впливає на робочу збірку, і виявили, що навіть найсерйозніші не мають прямого впливу на Tezos Snap. Хоча це означає, що наразі немає загрози безпеці, у майбутньому можуть виникнути нові функції або нові вразливості.

Пом'якшення

Першим кроком було б оновити пакети до версій, де це можливо. На рівні ширшої картини існує потреба в автоматизованій системі, яка б сповіщала про нові вразливості, і має бути встановлений процес для їх пом’якшення, коли виникають критичні.

Чарівні числа

Опис

Під час нашої оцінки ми помітили використання, здавалося б, довільних констант без пояснювальних коментарів:

У наведеному вище випадку важко здогадатися, чому потрібно ділити на 1000 або множити на 257, не знаючи, як працює протокол і сам блокчейн.

Пом'якшення

Вважається хорошою практикою давати таким жорстко закодованим константам описові назви та, якщо необхідно, додавати пояснювальні коментарі.

Тривожний запит метамаски

Опис

Під час інсталяції Snap з’являється таке важкозрозуміле повідомлення метамаски:

Пом'якшення

Можливо, Tezos не зможе змінити цю досить страшну підказку. Але, оскільки це може бути цікаво, ми вирішили включити цей випуск як інформаційний.

Тривожний запит метамаски

Опис

Під час нашої оцінки ми помітили цей коментар, який передбачає певну невизначеність, яка може вказувати на більшу проблему

Ми провели дослідження та не змогли перевірити, у чому проблема, про яку йдеться в коментарі.

Пом'якшення

Ці коментарі слід змінити або видалити у версії випуску, або, якщо тут є глибша проблема, розробники повинні оновити логіку того, чому це

Додаток A: Виправлення оцінки безпеки

Після перевірки командою Sayfer ми можемо підтвердити, що всі вразливості були виправлені командою Tezos

Початковий хеш коміту: 0e0d653b85cbd11365771ad9c2ee5726b10a7d26
Виправляє хеш коміту: 0d0c9381a1107c54647d927d4fe99694f332e24d