Ημερολόγιο ασφαλείας.

Έκλεισε η ευπάθεια CVE-2026-98432 του πυρήνα Linux

Εντοπίστηκε η ευπάθεια CVE-2026-98432 στον τρόπο με τον οποίο ο πυρήνας Linux χειρίζεται τις εισερχόμενες συνδέσεις TCP. Επηρεάζει διακομιστές Linux ανεξάρτητα από την υπηρεσία που εκτελούν.

Οι πυρήνες των διακομιστών της πλατφόρμας και των ενεργών διακομιστών VPN των συνεργατών με υποστηριζόμενες εκδόσεις συστήματος ενημερώθηκαν σε έκδοση με τη διόρθωση.

Εναρμονισμένα όρια για τη δημόσια φόρμα υποστήριξης

Αναφορά με υπογραφή Parth Narula έδειξε ότι, με άλλη διεύθυνση email, η δημόσια φόρμα υποστήριξής μας επέτρεπε την αποστολή επιπλέον αιτημάτων. Εναρμονίσαμε τα όρια της φόρμας, ώστε η αλλαγή διεύθυνσης να μην επιτρέπει πλέον επιπλέον αιτήματα. Ευχαριστούμε για την υπεύθυνη αναφορά.

Περιορίστηκε η πρόσβαση στη διεπαφή της υπηρεσίας υποστήριξης

Ένας εξωτερικός ερευνητής επισήμανε ότι η διεπαφή της υπηρεσίας υποστήριξης ήταν προσβάσιμη από το διαδίκτυο. Η διεπαφή απαιτούσε ταυτοποίηση· δεν εντοπίστηκαν ενδείξεις μη εξουσιοδοτημένης πρόσβασης ή αποκάλυψης δεδομένων χρηστών.

Αφαιρέσαμε την υπηρεσία υποστήριξης από τη δημόσια επιφάνεια: η πρόσβαση επιτρέπεται μόνο από αξιόπιστες διευθύνσεις και μέσω εσωτερικού καναλιού. Οι ρυθμίσεις της διεπαφής ευθυγραμμίστηκαν με τον τομέα στον οποίο λειτουργεί, και ο περιορισμός επαληθεύτηκε από εξωτερικό δίκτυο.

Η διεύθυνση επιστροφής περιορίστηκε στις σελίδες του πάνελ

Ένας ερευνητής ανακάλυψε ότι η εσωτερική διεύθυνση επιστροφής μετά την αποκατάσταση της συνεδρίας μπορούσε να ερμηνευτεί από το πρόγραμμα περιήγησης ως μετάβαση σε εξωτερικό ιστότοπο. Το σενάριο απαιτούσε ενεργή συνεδρία και δεν έδινε πρόσβαση στον λογαριασμό ή σε δεδομένα.

Πλέον η διεύθυνση επιστροφής επιλέγεται από μια κλειστή λίστα εσωτερικών σελίδων. Οποιαδήποτε άλλη τιμή οδηγεί στην αρχική σελίδα του πάνελ. Η διόρθωση καλύπτεται από αυτοματοποιημένους αρνητικούς ελέγχους.

Ενεργοποιήθηκε η επιβολή DMARC

Ένας ερευνητής ασφαλείας ανακάλυψε ότι η πολιτική DMARC του createyourvpn.com λειτουργούσε μόνο σε κατάσταση παρακολούθησης και δεν απαιτούσε την απόρριψη μηνυμάτων που αποτύγχαναν στον έλεγχο. Ενεργοποιήσαμε p=reject για τον κύριο τομέα και sp=reject για τους υποτομείς του που δεν στέλνουν αλληλογραφία. Η συναλλακτική αλληλογραφία παραμένει απομονωμένη σε ξεχωριστούς υποτομείς αποστολής με δικές τους πολιτικές SPF, DKIM και DMARC.

Ενεργοποιήθηκαν MTA-STS και αναφορές TLS

Ένας ερευνητής ασφαλείας ανακάλυψε ότι το MTA-STS και οι αναφορές TLS δεν είχαν ρυθμιστεί για την εισερχόμενη αλληλογραφία του createyourvpn.com. Δημοσιεύσαμε πολιτική MTA-STS και ενεργοποιήσαμε τις αναφορές TLS. Αρχικά η πολιτική λειτουργεί σε δοκιμαστική λειτουργία, ενώ ελέγχουμε τη διαδρομή προώθησης τρίτου μέρους· η επιβολή θα ενεργοποιηθεί μετά από καθαρές αναφορές.

Προστέθηκε έλεγχος των συνεδριών λογαριασμού

Ένας ερευνητής ασφαλείας ανακάλυψε ότι ένα αντίγραφο token συνεδρίας συνεργάτη μπορούσε να παραμείνει ενεργό μετά την αποσύνδεση, αν είχε ανανεωθεί ξεχωριστά. Μεταφέραμε τις συνεδρίες σε μία ενιαία ταυτότητα διακομιστή: η αποσύνδεση ανακαλεί πλέον ολόκληρη την τρέχουσα συνεδρία, ενώ η ενέργεια «Αποσύνδεση παντού» τερματίζει όλες τις ενεργές συνεδρίες.

Στο πάνελ συνεργατών προστέθηκε η ενότητα «Συνεδρίες λογαριασμού». Σε αυτήν εμφανίζονται οι τρέχουσες συνδέσεις με τη συσκευή, τη διεύθυνση IP, τον χρόνο σύνδεσης και την τελευταία δραστηριότητα, καθώς και το ιστορικό επιτυχών και αποτυχημένων προσπαθειών σύνδεσης των τελευταίων 90 ημερών. Οποιαδήποτε συνεδρία μπορεί να τερματιστεί μεμονωμένα ή μπορούν να τερματιστούν όλες μαζί.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Ισχυρότερη προστασία για τη δημόσια φόρμα υποστήριξης

Ο ερευνητής ασφαλείας 0xVicky ανακάλυψε ότι η δημόσια φόρμα υποστήριξής μας μπορούσε να χρησιμοποιηθεί για την αποστολή υπερβολικού αριθμού αιτημάτων. Προσθέσαμε όρια ανά επισκέπτη και για τη συνολική κίνηση, προστατεύσαμε το εσωτερικό κανάλι υποβολής της φόρμας και ενισχύσαμε τον έλεγχο των συνημμένων. Ευχαριστούμε για την υπεύθυνη αναφορά.

Διαχείριση συνεδριών και αποστολή κωδικών σύνδεσης

Έπειτα από αναφορές εξωτερικού ερευνητή εξετάσαμε δύο γειτονικές περιοχές: τον κύκλο ζωής μιας συνεδρίας συνεργάτη και τη διαδρομή του email με τον κωδικό σύνδεσης. Κανένα από τα ευρήματα δεν έδινε πρόσβαση σε λογαριασμούς, σε δεδομένα συνεργατών ή στην κίνηση των χρηστών.

Κεφαλίδες ασφαλείας στις σελίδες των καταστημάτων

Τα καταστήματα των συνεργατών δεν έστελναν τις κεφαλίδες ασφαλείας που ο πίνακας και το API έστελναν ήδη — μεταξύ τους και εκείνη που απαγορεύει σε άλλους ιστότοπους να εμφανίζουν τη σελίδα σε πλαίσιο. Δεδομένα λογαριασμού ή συνεδρίας δεν ήταν δυνατόν να διαβαστούν έτσι. Το πλήρες σύνολο συνοδεύει πλέον κάθε απόκριση των καταστημάτων και ο ισχυρισμός SR-15 κατονομάζει κάθε frontend που φιλοξενούμε.

Ο χρήστης μπορεί να επαναφέρει μόνος του τον σύνδεσμο συνδρομής

Ο σύνδεσμος συνδρομής είναι μυστικό: όποιος τον έχει αποκτά την ίδια πρόσβαση με τον κάτοχό του. Ο χρήστης μπορεί να τον επαναφέρει μόνος του από τον λογαριασμό του: ο προηγούμενος σύνδεσμος παύει να λειτουργεί και τα διαπιστευτήρια πίσω από αυτόν εκδίδονται εκ νέου. Ένας σύνδεσμος που έκλεισε έτσι παραμένει κλειστός, ακόμη και όταν τα δεδομένα επαναφέρονται από αντίγραφο ασφαλείας.

Οι διευθύνσεις email των χρηστών των βιτρινών δεν διατηρούνται πλέον

Κάποιος πληκτρολογεί το email του για να συνδεθεί στη βιτρίνα ενός συνεργάτη, όμως η διεύθυνση δεν μένει σε εμάς: το email με τον κωδικό φεύγει και η διεύθυνση διαγράφεται αμέσως. Ο λογαριασμός αναγνωρίζεται από ένα μη αντιστρεπτό αποτύπωμα, από το οποίο η διεύθυνση δεν ανακτάται, ενώ ούτε το όνομα του λογαριασμού την περιέχει.

Περιορίστηκε η πρόσβαση στον πίνακα διαχείρισης της υποδομής

Εξωτερικός ερευνητής ανέφερε ότι μια διαχειριστική διεπαφή της υποδομής αποκρινόταν από το δημόσιο διαδίκτυο. Η διεπαφή προστατευόταν με ταυτοποίηση και δεν βρέθηκαν ενδείξεις μη εξουσιοδοτημένης πρόσβασης. Η αναφορά έγινε δεκτή και η πρόσβαση περιορίστηκε.

Η διεπαφή είναι πλέον προσβάσιμη μόνο από εγκεκριμένες διευθύνσεις, οι απαιτήσεις ταυτοποίησης ενισχύθηκαν και τα σχετικά στοιχεία ενημερώθηκαν. Το αποτέλεσμα επαληθεύτηκε εκτός του δικτύου μας. Επιπλέον επανεξετάσαμε τη δημόσια επιφάνειά μας και προσθέσαμε τακτικό έλεγχο. Η αμοιβή καταβλήθηκε στο ανώτατο επίπεδο.

Αφαιρέθηκε μια αχρησιμοποίητη διαδρομή εξουσιοδότησης του API συνεργατών

Το API υποστήριζε μια επιπλέον διαδρομή εξουσιοδότησης βασισμένη σε cookie, την οποία η τρέχουσα αρχιτεκτονική server-side δεν χρειαζόταν. Δεν εντοπίστηκε καμία επίθεση cross-site στο production, όμως η επιπλέον διαδρομή διεύρυνε την επιφάνεια για μελλοντικά λάθη. Το API χρησιμοποιεί πλέον μία μόνο, ρητά ορισμένη μέθοδο εξουσιοδότησης, που καλύπτεται από αρνητικούς ελέγχους.

Εγγυημένη εκκαθάριση του κλειδιού διαχείρισης μετά τη διαγραφή διακομιστή

Η εκκαθάριση του κρυπτογραφημένου κλειδιού διαχείρισης εκτελούνταν μετά από δικτυακές λειτουργίες στο παρασκήνιο και μπορούσε να μην επαναληφθεί αν εκείνες αποτύγχαναν. Αποσυνδέσαμε την εκκαθάριση του κλειδιού από την αλυσίδα δικτύου και προσθέσαμε εγγυημένη επανάληψη. Τα σενάρια μη προσβάσιμου διακομιστή και διακοπής διεργασίας καλύπτονται από ελέγχους.

Τα κρυπτογραφικά κλειδιά της πλατφόρμας διαχωρίστηκαν κατά σκοπό

Μια εσωτερική επιθεώρηση διαπίστωσε ότι ένα μόνο μυστικό χρησιμοποιούνταν για δύο διαφορετικές κρυπτογραφικές εργασίες. Αυτό δεν δημιουργούσε άμεση παράκαμψη, αλλά διεύρυνε τις συνέπειες μιας παραβίασης κλειδιού. Οι δύο σκοποί διαχωρίστηκαν και ο καθένας πλέον εναλλάσσεται ανεξάρτητα.

Μειώθηκε η δημόσια επιφάνεια του production API

Η διαδραστική τεχνική τεκμηρίωση του API ήταν προσβάσιμη χωρίς αυθεντικοποίηση. Δεν έδινε πρόσβαση σε προστατευμένα δεδομένα, αλλά διευκόλυνε τη μελέτη της εσωτερικής δομής του API. Στο production η τεκμηρίωση είναι πλέον απενεργοποιημένη, ενώ παραμένει διαθέσιμη σε απομονωμένο περιβάλλον για την ανάπτυξη.

Προστέθηκε δικλείδα ασφαλείας έναντι μη ασφαλούς διαμόρφωσης cross-origin

Η τρέχουσα διαμόρφωση production δεν επέτρεπε αυθαίρετα origins, όμως ο κώδικας επέτρεπε έναν επικίνδυνο συνδυασμό παραμέτρων αν ένας διαχειριστής τον διαμόρφωνε λανθασμένα. Αυτός ο συνδυασμός πλέον απορρίπτεται κατά την εκκίνηση και καλύπτεται από αυτοματοποιημένο έλεγχο.

Εσωτερικός έλεγχος πριν από την έναρξη του προγράμματος

Στις 15 Ιουλίου 2026 ξεκινήσαμε μια εσωτερική επιθεώρηση ασφαλείας του CreateYourVPN. Οι διορθώσεις που έχουμε ολοκληρώσει και επαληθεύσει εκ νέου δημοσιεύονται παρακάτω· θα ακολουθήσουν κι άλλες καθώς αναπτύσσονται και επιβεβαιώνονται.