יומן אבטחה.

הפגיעות CVE-2026-98432 בליבת Linux נסגרה

התגלתה הפגיעות CVE-2026-98432 באופן שבו ליבת Linux מטפלת בחיבורי TCP נכנסים. היא משפיעה על שרתי Linux בלי קשר לשירות שפועל בהם.

הליבות של שרתי הפלטפורמה ושל שרתי ה-VPN הפעילים של השותפים בגרסאות מערכת נתמכות עודכנו לגרסה עם התיקון.

איחוד המגבלות של טופס התמיכה הציבורי

דוח של Parth Narula הראה ששימוש בכתובת דוא״ל אחרת אפשר לשלוח פניות נוספות דרך טופס התמיכה הציבורי שלנו. איחדנו את מגבלות הטופס, כך ששינוי הכתובת כבר לא מאפשר לשלוח פניות נוספות. תודה על הדיווח האחראי.

הגישה לממשק שירות התמיכה הוגבלה

חוקר חיצוני הסב את תשומת הלב לכך שממשק שירות התמיכה היה נגיש מהאינטרנט. הממשק דרש אימות; לא נמצאו סימנים לגישה בלתי מורשית או לחשיפת נתוני משתמשים.

הוצאנו את שירות התמיכה מהמשטח הציבורי: הגישה מותרת רק מכתובות מהימנות ודרך ערוץ פנימי. הגדרות הממשק הותאמו לדומיין הפעיל, וההגבלה נבדקה מרשת חיצונית.

כתובת החזרה הוגבלה לעמודי הלוח

חוקר אבטחה גילה שכתובת החזרה השירותית לאחר שחזור הסשן הייתה עלולה להתפרש על ידי הדפדפן כמעבר לאתר חיצוני. התרחיש דרש סשן תקף ולא העניק גישה לחשבון או לנתונים.

כעת כתובת החזרה נבחרת מתוך רשימה סגורה של עמודים פנימיים. כל ערך אחר מוביל לעמוד הראשי של הלוח. התיקון מכוסה בבדיקות שליליות אוטומטיות.

אכיפת DMARC הופעלה

חוקר אבטחה גילה שמדיניות DMARC של createyourvpn.com פעלה במצב ניטור בלבד ולא דרשה לדחות הודעות שנכשלו באימות. הפעלנו p=reject עבור הדומיין הראשי ו-sp=reject עבור תתי-הדומיינים שלו שאינם שולחים דואר. דואר תפעולי נשאר מבודד בתתי-דומיינים נפרדים לשליחה עם מדיניות SPF, DKIM ו-DMARC משלהם.

MTA-STS ודיווח TLS הופעלו

חוקר אבטחה גילה ש-MTA-STS ודיווח TLS לא הוגדרו עבור דואר נכנס ב-createyourvpn.com. פרסמנו מדיניות MTA-STS והפעלנו דיווח TLS. המדיניות פועלת תחילה במצב בדיקה בזמן שאנו בודקים את נתיב ההעברה של צד שלישי; האכיפה תופעל לאחר קבלת דוחות נקיים.

נוספה שליטה בסשנים של החשבון

חוקר אבטחה גילה שעותק של אסימון סשן שותף יכול היה להישאר פעיל לאחר יציאה אם הוא רוענן בנפרד. העברנו את הסשנים לזהות אחידה בצד השרת: יציאה מבטלת כעת את כל הסשן הנוכחי, ואילו הפעולה 'התנתקות מכל המכשירים' מסיימת את כל הסשנים הפעילים.

בלוח נוסף הקטע 'הפעלות החשבון'. מוצגות בו הכניסות הנוכחיות עם המכשיר, כתובת ה-IP, זמן הכניסה והפעילות האחרונה, וכן היסטוריית ניסיונות הכניסה המוצלחים והכושלים ב-90 הימים האחרונים. ניתן לסיים כל סשן בנפרד או לסיים את כולם בבת אחת.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

הגנה חזקה יותר לטופס התמיכה הציבורי

חוקר האבטחה 0xVicky גילה שניתן היה לנצל את טופס התמיכה הציבורי שלנו לשליחת מספר מופרז של פניות. הוספנו מגבלות לכל מבקר ולתעבורה הכוללת, הגנו על ערוץ השליחה הפנימי של הטופס וחיזקנו את בדיקת הקבצים המצורפים. תודה על הדיווח האחראי.

ניהול הפעלות ושליחת קודי כניסה

בעקבות דיווחים של חוקר חיצוני בחנו מחדש שני תחומים סמוכים: מחזור החיים של הפעלת שותף והמסלול של הודעת הדוא"ל עם קוד הכניסה. אף אחד מהממצאים לא איפשר גישה לחשבונות, לנתוני שותפים או לתעבורת המשתמשים.

כותרות אבטחה בעמודי החנויות

חנויות השותפים לא שלחו את כותרות האבטחה שהפאנל וה-API כבר שלחו — ובכללן זו האוסרת על אתרים אחרים להציג את העמוד במסגרת. בדרך זו לא היה אפשר לקרוא נתוני חשבון או הפעלות. כעת המערך המלא מלווה כל תגובה של החנויות, והטענה SR-15 מציינת כל ממשק שאנחנו מארחים.

המשתמש יכול לאפס בעצמו את קישור המנוי שלו

קישור המנוי הוא סוד: מי שמחזיק בו מקבל את אותה גישה כמו הבעלים. המשתמש יכול לאפס אותו בעצמו בחשבונו: הקישור הקודם מפסיק לפעול, ופרטי הגישה שמאחוריו מונפקים מחדש. קישור שנסגר כך נשאר סגור, גם כאשר משחזרים נתונים מגיבוי.

כתובות הדוא"ל של משתמשי החנויות אינן נשמרות עוד

אדם מקליד את כתובת הדוא"ל שלו כדי להתחבר לחנות של שותף, אך הכתובת אינה נשארת אצלנו: הודעת הקוד יוצאת והכתובת נמחקת מיד. החשבון מזוהה לפי טביעה בלתי הפיכה שלא ניתן לשחזר ממנה את הכתובת, וגם שם החשבון אינו מכיל אותה.

הגישה ללוח הניהול של התשתית הוגבלה

חוקר חיצוני דיווח שממשק ניהולי לניהול התשתית הגיב מהאינטרנט הפתוח. הממשק היה מוגן באימות ולא נמצאו סימנים לגישה בלתי מורשית. הדיווח התקבל והגישה הוגבלה.

כעת הממשק נגיש רק מכתובות מאושרות, דרישות האימות הוחמרו והרכיבים הרלוונטיים עודכנו. התוצאה אומתה מחוץ לרשת שלנו. כמו כן סקרנו את המשטח הציבורי שלנו והוספנו בדיקה תקופתית. הפרס שולם ברמה הגבוהה ביותר.

הוסר נתיב הרשאה שאינו בשימוש ב־API של השותפים

ה־API תמך בנתיב הרשאה נוסף מבוסס cookie שהארכיטקטורה הנוכחית של server-side לא נזקקה לו. לא נמצאה מתקפת cross-site ב־production, אך הנתיב הנוסף הרחיב את המשטח לטעויות עתידיות. כעת ה־API משתמש בשיטת הרשאה אחת ומוגדרת במפורש, המכוסה בבדיקות שליליות.

הובטח ניקוי מפתח הניהול לאחר מחיקת שרת

ניקוי מפתח הניהול המוצפן רץ לאחר פעולות רשת ברקע, ועלול היה שלא לחזור על עצמו אם אותן פעולות נכשלו. ניתקנו את ניקוי המפתח ממפל פעולות הרשת והוספנו ניסיון חוזר מובטח. תרחישי השרת שאינו זמין והתהליך שנקטע מכוסים בבדיקות.

מפתחות ההצפנה של הפלטפורמה הופרדו לפי ייעוד

סקירה פנימית מצאה כי סוד יחיד שימש לשתי משימות הצפנה שונות. הדבר לא יצר עקיפה ישירה, אך הרחיב את היקף הנזק במקרה של פריצת מפתח. שני הייעודים הופרדו, וכל אחד מהם עובר כעת רוטציה באופן עצמאי.

צומצם המשטח הציבורי של production API

התיעוד הטכני האינטראקטיבי של ה־API היה נגיש ללא אימות. הוא לא איפשר גישה לנתונים מוגנים, אך הקל על לימוד המבנה הפנימי של ה־API. ב־production התיעוד כעת מושבת, ועם זאת נשאר זמין בסביבה מבודדת לצורכי פיתוח.

נוסף מנגנון הגנה מפני תצורת cross-origin לא בטוחה

תצורת ה־production הנוכחית לא איפשרה מקורות שרירותיים, אך הקוד איפשר צירוף מסוכן של פרמטרים אם מפעיל היה מגדיר אותם בטעות. צירוף זה נדחה כעת בעת ההפעלה ומכוסה בבדיקה אוטומטית.

סקירה פנימית לפני השקת התוכנית

ב־15 ביולי 2026 התחלנו סקירת אבטחה פנימית של CreateYourVPN. התיקונים שהשלמנו ואימתנו מחדש מתפרסמים למטה; נוספים יבואו ככל שיופצו ויאוששו.