Bezpečnostní deník.

Uzavřena zranitelnost jádra Linuxu CVE-2026-98432

Byla zjištěna zranitelnost CVE-2026-98432 ve způsobu, jakým jádro Linuxu zpracovává příchozí připojení TCP. Týká se linuxových serverů bez ohledu na službu, která na nich běží.

Jádra serverů platformy a aktivních serverů VPN partnerů s podporovanými verzemi systému byla aktualizována na verzi s opravou.

Sjednocené limity veřejného formuláře podpory

Zpráva od Parth Narula ukázala, že s jinou e-mailovou adresou šlo přes náš veřejný formulář podpory odeslat další požadavky. Sjednotili jsme limity formuláře, takže změna adresy už další požadavky neumožňuje. Děkujeme za odpovědné nahlášení.

Byl omezen přístup k rozhraní podpory

Externí výzkumník upozornil, že rozhraní podpory bylo dostupné z internetu. Rozhraní vyžadovalo ověření; známky neoprávněného přístupu ani úniku uživatelských dat nebyly zjištěny.

Službu podpory jsme vyřadili z veřejného povrchu: přístup je povolen jen z důvěryhodných adres a přes interní kanál. Nastavení rozhraní bylo sladěno s používanou doménou a omezení bylo ověřeno z vnější sítě.

Návratová adresa je omezena na stránky panelu

Bezpečnostní výzkumník zjistil, že servisní návratovou adresu po obnovení relace mohl prohlížeč interpretovat jako přechod na externí web. Scénář vyžadoval platnou relaci a neumožňoval přístup k účtu ani k datům.

Návratová adresa se nyní vybírá z uzavřeného seznamu interních stránek. Jakákoli jiná hodnota vede na hlavní stránku panelu. Oprava je pokryta automatickými negativními testy.

Zapnuto vynucování DMARC

Bezpečnostní výzkumník zjistil, že zásada DMARC pro createyourvpn.com fungovala pouze v režimu monitorování a nepožadovala odmítnutí zpráv, které kontrolou neprojdou. Pro hlavní doménu jsme zapnuli p=reject a pro její subdomény bez odchozí pošty sp=reject. Transakční pošta zůstává oddělena na vyhrazených odesílacích subdoménách s vlastními zásadami SPF, DKIM a DMARC.

Zapnuty MTA-STS a TLS reporty

Bezpečnostní výzkumník zjistil, že pro příchozí poštu na createyourvpn.com nebyly nastaveny MTA-STS ani TLS reporty. Zveřejnili jsme zásadu MTA-STS a zapnuli TLS reporty. Zásada nejprve běží v testovacím režimu, zatímco ověřujeme cestu přeposílání třetí strany; vynucování zapneme po bezchybných reportech.

Přidána kontrola relací účtu

Bezpečnostní výzkumník zjistil, že kopie tokenu partnerské relace mohla po odhlášení zůstat aktivní, pokud byla samostatně obnovena. Převedli jsme relace na jednotnou serverovou identitu: odhlášení nyní odvolá celou aktuální relaci a akce „Odhlásit se všude“ ukončí všechny aktivní relace.

V panelu přibyla sekce „Relace účtu“. Jsou v ní vidět aktuální přihlášení se zařízením, IP adresou, časem přihlášení a poslední aktivitou a také historie úspěšných a neúspěšných pokusů o přihlášení za 90 dní. Kteroukoli relaci lze ukončit samostatně, nebo lze ukončit všechny najednou.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Silnější ochrana veřejného formuláře podpory

Bezpečnostní výzkumník 0xVicky zjistil, že náš veřejný formulář podpory bylo možné zneužít k odesílání nadměrného množství požadavků. Přidali jsme limity pro jednotlivé návštěvníky i celkový provoz, zabezpečili interní kanál formuláře a posílili kontrolu příloh. Děkujeme za odpovědné nahlášení.

Správa relací a odesílání přihlašovacích kódů

Na základě hlášení externího výzkumníka jsme prošli dvě sousedící oblasti: životní cyklus partnerské relace a cestu e-mailu s přihlašovacím kódem. Ani jedno zjištění neumožňovalo přístup k účtům, datům partnerů ani provozu uživatelů.

Bezpečnostní hlavičky na stránkách obchodů

Obchody partnerů neposílaly bezpečnostní hlavičky, které panel a API posílaly už dříve — včetně té, která cizím webům zakazuje zobrazit stránku v rámu. Data účtu ani relace touto cestou přečíst nešlo. Kompletní sada nyní doprovází každou odpověď obchodu a tvrzení SR-15 jmenuje každý frontend, který provozujeme.

Uživatel si může resetovat svůj odkaz na předplatné sám

Odkaz na předplatné je tajemství: kdo ho má, získá stejný přístup jako jeho vlastník. Uživatel si ho může resetovat sám ve svém účtu — předchozí odkaz přestane fungovat a přístupové údaje za ním se vydají znovu. Takto uzavřený odkaz zůstává uzavřený, i když se data obnoví ze zálohy.

E-mailové adresy uživatelů výloh se už neuchovávají

Člověk zadá svůj e-mail, aby se přihlásil do výlohy partnera, ale adresa u nás nezůstane: e-mail s kódem odejde a adresa se hned smaže. Účet poznáme podle nevratného otisku, ze kterého adresu obnovit nelze, a název účtu ji rovněž neobsahuje.

Byl omezen přístup k panelu pro správu infrastruktury

Externí výzkumník nahlásil, že administrativní rozhraní pro správu infrastruktury odpovídalo z veřejného internetu. Rozhraní bylo chráněno přihlášením, stopy neoprávněného přístupu nebyly nalezeny. Hlášení bylo přijato a přístup omezen.

Rozhraní je nyní dostupné pouze ze schválených adres, požadavky na ověření byly zpřísněny a dotčené komponenty aktualizovány. Výsledek byl ověřen z vnější sítě. Dále jsme prošli náš veřejný povrch a zavedli jeho pravidelnou kontrolu. Odměna byla vyplacena v nejvyšší kategorii.

Odstraněna nepoužívaná cesta autorizace partnerského API

API podporovalo doplňkovou cestu autorizace založenou na cookie, kterou současná server-side architektura nepotřebovala. V production nebyl zjištěn žádný cross-site útok, ale cesta navíc rozšiřovala plochu pro budoucí chyby. API nyní používá jedinou, explicitně definovanou metodu autorizace, pokrytou negativními testy.

Zaručeno vymazání správcovského klíče po odstranění serveru

Vymazání šifrovaného správcovského klíče probíhalo po síťových operacích na pozadí a při jejich selhání se nemuselo zopakovat. Vymazání klíče jsme oddělili od síťové kaskády a přidali zaručené opakování. Scénáře nedostupného serveru a přerušeného procesu jsou pokryty testy.

Kryptografické klíče platformy odděleny podle účelu

Interní kontrola zjistila, že jeden tajný klíč se používal pro dvě různé kryptografické úlohy. To sice nevytvářelo přímé obejití ochrany, ale rozšiřovalo dopad kompromitace klíče. Oba účely byly odděleny a každý se nyní rotuje nezávisle.

Zmenšena veřejná plocha production API

Interaktivní technická dokumentace API byla dostupná bez autentizace. Nedávala přístup k chráněným datům, ale usnadňovala studium vnitřní struktury API. V production je dokumentace nyní vypnuta, přičemž zůstává dostupná v izolovaném prostředí pro vývoj.

Přidána pojistka proti nebezpečné cross-origin konfiguraci

Současná production konfigurace nepovolovala libovolné origins, kód však umožňoval nebezpečnou kombinaci parametrů, pokud ji operátor chybně nastavil. Tato kombinace je nyní při startu odmítnuta a pokryta automatickým testem.

Interní přezkum před spuštěním programu

Dne 15. července 2026 jsme zahájili interní bezpečnostní kontrolu CreateYourVPN. Opravy, které jsme dokončili a znovu ověřili, jsou zveřejněny níže; další budou přibývat, jak budou nasazovány a potvrzovány.