セキュリティジャーナル。

Linux カーネルの脆弱性 CVE-2026-98432 に対処しました

Linux カーネルの受信 TCP 接続の処理に脆弱性 CVE-2026-98432 が見つかりました。実行しているサービスに関係なく、Linux サーバーに影響します。

プラットフォームのサーバーと、サポート対象のシステムバージョンで稼働しているパートナーの VPN サーバーのカーネルを、修正を含むバージョンに更新しました。

公開サポートフォームの制限を統一

Parth Narula氏の報告により、別のメールアドレスを使うと公開サポートフォームから追加の問い合わせを送信できることが分かりました。フォームの制限を統一し、アドレスを変更しても追加の問い合わせを送信できないようにしました。責任ある報告に感謝します。

サポート用インターフェースへのアクセスを制限しました

外部の研究者から、サポート用インターフェースがインターネットからアクセス可能になっていたとの指摘を受けました。当該インターフェースには認証が必要でした。不正アクセスやユーザーデータの漏えいの痕跡は確認されていません。

サポートサービスを公開面から除外しました：アクセスは、信頼できるアドレスからのものと、内部チャネルを経由するものに限り許可しています。インターフェースの設定は実際に運用しているドメインに合わせて修正し、制限が機能していることを外部ネットワークから検証しました。

戻り先アドレスをパネル内のページに限定しました

セキュリティ研究者は、セッション復元後に使われる内部用の戻り先アドレスが、ブラウザによって外部サイトへの遷移として解釈される可能性があることを発見しました。このシナリオには有効なセッションが必要で、アカウントやデータへのアクセスを与えるものではありませんでした。

現在、戻り先アドレスはあらかじめ定められた内部ページのリストから選択されます。それ以外の値はすべてパネルのトップページに誘導されます。この修正は自動化されたネガティブテストでカバーされています。

DMARC強制ポリシーを有効化

セキュリティ研究者は、createyourvpn.comのDMARCポリシーが監視モードのみで動作し、検証に失敗したメールの拒否を求めていないことを発見しました。メインドメインにp=reject、メールを送信しないサブドメインにsp=rejectを有効にしました。トランザクションメールは引き続き、独自のSPF、DKIM、DMARCポリシーを持つ別の送信サブドメインに分離されています。

MTA-STSとTLSレポートを有効化

セキュリティ研究者は、createyourvpn.comの受信メールにMTA-STSとTLSレポートが設定されていないことを発見しました。私たちはMTA-STSポリシーを公開し、TLSレポートを有効にしました。まずはテストモードでサードパーティーの転送経路を確認し、問題のないレポートを確認した後に強制モードを有効にします。

アカウントのセッション管理機能を追加しました

セキュリティ研究者は、パートナーセッションのトークンのコピーが個別に更新されていた場合、ログアウト後も有効なままになる可能性があることを発見しました。セッションを単一のサーバー側IDに移行し、ログアウトで現在のセッション全体を取り消し、「すべての端末からログアウト」で有効なすべてのセッションを終了できるようにしました。

パネルに「アカウントのセッション」セクションを追加しました。現在のログインを、端末、IPアドレス、ログイン時刻、最終利用日時とともに確認でき、過去90日間の成功および失敗したログイン試行の履歴も表示されます。どのセッションも個別に終了でき、すべてを一度に終了することもできます。

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

公開サポートフォームの保護を強化

セキュリティ研究者の0xVicky氏は、公開サポートフォームが大量の問い合わせ送信に悪用される可能性を発見しました。訪問者ごと、および全体の通信量に制限を設け、フォームの内部送信経路を保護し、添付ファイルの検証を強化しました。責任ある報告に感謝します。

セッション管理とログインコードの配信

外部研究者からの報告を受け、隣接する 2 つの領域を見直しました。パートナーセッションのライフサイクルと、ログインコードを含むメールの経路です。いずれの指摘も、アカウント、パートナーのデータ、利用者の通信へのアクセスを与えるものではありませんでした。

ストアフロントのページにセキュリティヘッダー

パートナーのストアフロントが、パネルと API では既に送信していたセキュリティヘッダー——他サイトによるフレーム表示を禁じるものを含む——を送っていませんでした。この経路でアカウント情報やセッションを読み取ることはできません。現在は一式がストアフロントのすべての応答に付与され、主張 SR-15 は当社がホストする各フロントエンドを明示します。

利用者が自分でサブスクリプションリンクをリセットできるようになりました

サブスクリプションリンクは秘密情報であり、入手した人は所有者と同じアクセス権を得ます。利用者はアカウントから自分でリセットでき、以前のリンクは動作しなくなり、その背後の認証情報は再発行されます。この方法で閉じたリンクは、バックアップからデータを復元した場合も閉じたままです。

ストアフロント利用者のメールアドレスを保存しなくなりました

パートナーのストアフロントにログインする際、利用者はメールアドレスを入力しますが、そのアドレスは当社に残りません。コードのメールを送信した時点でアドレスは削除されます。アカウントは不可逆な指紋で識別され、そこからアドレスは復元できません。アカウント名にもアドレスは含まれません。

インフラ管理パネルへのアクセスを制限しました

外部の研究者から、インフラ管理用のインターフェースがインターネットから応答しているとの報告を受けました。当該インターフェースは認証で保護されており、不正アクセスの痕跡は確認されていません。報告を受理し、アクセスを制限しました。

現在、当該インターフェースは許可されたアドレスからのみ到達可能で、認証の要件を強化し、関係するコンポーネントを更新しました。結果は自社ネットワークの外から検証しています。あわせて公開範囲を見直し、定期的な点検を導入しました。報奨金は最上位の等級で支払いました。

パートナー API の未使用の認可経路を削除

API は、現行の server-side アーキテクチャには不要な、cookie ベースの追加の認可経路をサポートしていました。production でクロスサイト攻撃は確認されませんでしたが、余分な経路は将来のミスの余地を広げていました。API は現在、明示的に定義された単一の認可方式を使用し、ネガティブテストでカバーしています。

サーバー削除後の管理鍵の消去を保証

暗号化された管理鍵の消去はバックグラウンドのネットワーク処理のあとに実行されており、それらが失敗すると再実行されないことがありました。鍵の消去をネットワークのカスケードから切り離し、保証された再試行を追加しました。到達不能なサーバーおよび処理中断のシナリオはテストでカバーしています。

プラットフォームの暗号鍵を用途ごとに分離

内部レビューにより、単一の秘密が二つの異なる暗号処理に使われていたことが判明しました。これは直接的な回避を生むものではありませんでしたが、鍵が侵害された際の影響範囲を広げていました。二つの用途を分離し、それぞれを独立してローテーションするようにしました。

production API の公開面を縮小

API の対話型の技術ドキュメントが認証なしで到達可能でした。これは保護されたデータへのアクセスを与えるものではありませんでしたが、API の内部構造の把握を容易にしていました。production ではドキュメントを現在無効化し、開発用には隔離された環境で引き続き利用できるようにしています。

安全でない cross-origin 構成に対するガードレールを追加

現行の production 構成は任意のオリジンを許可していませんでしたが、運用者が設定を誤った場合、コードは危険なパラメータの組み合わせを許してしまう状態でした。この組み合わせは現在、起動時に拒否され、自動テストでカバーされています。

プログラム公開前の内部レビュー

2026年7月15日、私たちは CreateYourVPN の内部セキュリティレビューを開始しました。完了して再検証した修正は以下に公開しています。今後も、展開と確認が済み次第、順次追加していきます。