보안 저널.

Linux 커널 취약점 CVE-2026-98432 조치 완료

Linux 커널이 들어오는 TCP 연결을 처리하는 방식에서 취약점 CVE-2026-98432가 발견되었습니다. 어떤 서비스를 실행하든 Linux 서버에 영향을 줍니다.

플랫폼 서버와 지원되는 시스템 버전을 실행하는 파트너의 활성 VPN 서버 커널을 수정이 포함된 버전으로 업데이트했습니다.

공개 지원 양식의 제한 통일

Parth Narula의 보고서를 통해 다른 이메일 주소를 사용하면 공개 지원 양식으로 추가 요청을 보낼 수 있음이 확인되었습니다. 양식의 제한을 통일하여 주소를 변경해도 더 이상 추가 요청을 보낼 수 없게 했습니다. 책임 있는 제보에 감사드립니다.

지원 서비스 인터페이스에 대한 접근을 제한했습니다

외부 연구자가 지원 서비스 인터페이스가 인터넷에서 접근 가능했다는 점을 지적했습니다. 해당 인터페이스는 인증이 필요했으며, 무단 접근이나 사용자 데이터 노출의 흔적은 발견되지 않았습니다.

지원 서비스를 공개 표면에서 제외했습니다. 접근은 신뢰할 수 있는 주소에서, 그리고 내부 채널을 통해서만 허용됩니다. 인터페이스 설정을 실제 운영 도메인에 맞게 조정했으며, 제한은 외부 네트워크에서 검증했습니다.

복귀 주소를 패널 페이지로 제한했습니다

보안 연구원이 세션 복원 후 사용되는 내부 복귀 주소가 브라우저에서 외부 사이트로의 이동으로 해석될 수 있다는 점을 발견했습니다. 이 시나리오에는 유효한 세션이 필요했으며, 계정이나 데이터에 대한 접근을 허용하지 않았습니다.

이제 복귀 주소는 미리 정해진 내부 페이지 목록에서 선택됩니다. 그 밖의 값은 모두 패널의 메인 페이지로 이동합니다. 이 수정은 자동화된 네거티브 테스트로 커버됩니다.

DMARC 강제 적용 활성화

보안 연구원이 createyourvpn.com의 DMARC 정책이 모니터링 모드로만 작동해 검증에 실패한 메시지의 거부를 요구하지 않는다는 문제를 발견했습니다. 기본 도메인에는 p=reject를, 메일을 보내지 않는 하위 도메인에는 sp=reject를 활성화했습니다. 트랜잭션 메일은 자체 SPF, DKIM, DMARC 정책을 가진 별도의 발신 하위 도메인에 계속 격리됩니다.

MTA-STS 및 TLS 보고 활성화

보안 연구원이 createyourvpn.com의 수신 메일에 MTA-STS와 TLS 보고가 설정되어 있지 않다는 문제를 발견했습니다. MTA-STS 정책을 게시하고 TLS 보고를 활성화했습니다. 먼저 테스트 모드에서 타사 전달 경로를 확인하며, 이상 없는 보고서를 확인한 뒤 강제 적용을 활성화합니다.

계정 세션 관리 기능을 추가했습니다

보안 연구원이 파트너 세션 토큰의 사본을 별도로 갱신한 경우 로그아웃 후에도 활성 상태로 남을 수 있다는 문제를 발견했습니다. 세션을 하나의 서버 측 ID로 통합해, 이제 로그아웃은 현재 세션 전체를 폐기하고 “모든 기기에서 로그아웃”은 모든 활성 세션을 종료합니다.

패널에 “계정 세션” 섹션이 추가되었습니다. 이 섹션에서는 현재 로그인된 세션을 기기, IP 주소, 로그인 시간, 마지막 활동과 함께 확인할 수 있으며, 최근 90일간의 성공 및 실패한 로그인 시도 기록도 볼 수 있습니다. 어떤 세션이든 개별적으로 종료하거나 한 번에 모두 종료할 수 있습니다.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

공개 지원 양식 보호 강화

보안 연구자 0xVicky는 공개 지원 양식이 과도한 요청을 보내는 데 악용될 수 있음을 발견했습니다. 방문자별 및 전체 트래픽 제한을 추가하고 양식의 내부 제출 경로를 보호했으며 첨부 파일 검사를 강화했습니다. 책임 있는 제보에 감사드립니다.

세션 관리와 로그인 코드 발송

외부 연구자의 제보에 따라 인접한 두 영역을 점검했습니다. 파트너 세션의 수명 주기와 로그인 코드 메일이 거치는 경로입니다. 어느 제보도 계정, 파트너 데이터, 사용자 트래픽에 대한 접근을 허용하지는 않았습니다.

스토어프런트 페이지의 보안 헤더

파트너 스토어프런트가 패널과 API에서는 이미 보내던 보안 헤더 — 다른 사이트의 프레임 표시를 막는 헤더 포함 — 를 전송하지 않았습니다. 이 경로로 계정 데이터나 세션을 읽을 수는 없었습니다. 이제 전체 세트가 모든 스토어프런트 응답과 함께 전송되며, SR-15 주장은 저희가 호스팅하는 각 프런트엔드를 명시합니다.

사용자가 직접 구독 링크를 재설정할 수 있습니다

구독 링크는 비밀 값이며, 링크를 가진 사람은 소유자와 동일한 접근 권한을 갖습니다. 사용자는 계정에서 직접 링크를 재설정할 수 있으며, 이전 링크는 작동을 멈추고 그 뒤의 접속 정보는 새로 발급됩니다. 이렇게 닫힌 링크는 백업에서 데이터를 복원하더라도 닫힌 상태로 유지됩니다.

스토어프런트 사용자의 이메일 주소를 더 이상 보관하지 않습니다

파트너의 스토어프런트에 로그인하려면 이메일을 입력하지만, 그 주소는 당사에 남지 않습니다. 코드 메일이 발송되면 주소는 즉시 삭제됩니다. 계정은 주소를 복원할 수 없는 되돌릴 수 없는 지문으로 식별하며, 계정 이름에도 주소가 들어 있지 않습니다.

인프라 관리 패널 접근을 제한했습니다

외부 연구자가 인프라 관리용 인터페이스가 공개 인터넷에서 응답한다고 알려왔습니다. 해당 인터페이스는 인증으로 보호되어 있었고 무단 접근의 흔적은 발견되지 않았습니다. 보고를 접수하고 접근을 제한했습니다.

현재 해당 인터페이스는 승인된 주소에서만 접근할 수 있으며, 인증 요구 사항을 강화하고 관련 구성 요소를 업데이트했습니다. 결과는 자사 네트워크 외부에서 검증했습니다. 아울러 공개 범위를 점검하고 정기 확인 절차를 도입했습니다. 보상은 최상위 등급으로 지급했습니다.

사용되지 않던 파트너 API 인가 경로 제거

API는 현재 server-side 아키텍처에 필요하지 않은, cookie 기반의 추가 인가 경로를 지원했습니다. production에서 크로스 사이트 공격은 발견되지 않았지만, 그 추가 경로는 향후 실수의 표면을 넓혔습니다. 이제 API는 명시적으로 정의된 단일 인가 방식을 사용하며, 네거티브 테스트로 커버됩니다.

서버 삭제 후 관리 키의 삭제 보장

암호화된 관리 키의 삭제는 백그라운드 네트워크 작업 이후에 실행되었고, 그 작업이 실패하면 재시도되지 않을 수 있었습니다. 저희는 키 삭제를 네트워크 캐스케이드에서 분리하고 보장된 재시도를 추가했습니다. 도달 불가능한 서버와 프로세스 중단 시나리오는 테스트로 커버됩니다.

플랫폼 암호 키를 용도별로 분리

내부 검토에서 하나의 비밀 값이 두 가지 서로 다른 암호 작업에 사용되고 있음을 발견했습니다. 이것이 직접적인 우회를 만들지는 않았지만, 키가 침해될 경우의 영향 범위를 넓혔습니다. 두 용도를 분리했으며, 이제 각각 독립적으로 순환됩니다.

production API의 공개 표면 축소

API의 대화형 기술 문서가 인증 없이 접근 가능했습니다. 이는 보호된 데이터에 대한 접근을 제공하지는 않았지만, API의 내부 구조를 살펴보기 쉽게 만들었습니다. production에서는 이제 이 문서를 비활성화했으며, 개발용으로는 격리된 환경에서 계속 이용할 수 있습니다.

안전하지 않은 cross-origin 구성에 대한 가드레일 추가

현재 production 구성은 임의의 오리진을 허용하지 않았지만, 운영자가 잘못 구성할 경우 코드가 위험한 매개변수 조합을 허용했습니다. 이제 그 조합은 시작 시 거부되며 자동화된 테스트로 커버됩니다.

프로그램 출시 전 내부 검토

2026년 7월 15일, 저희는 CreateYourVPN의 내부 보안 검토를 시작했습니다. 완료하고 재검증한 수정 사항은 아래에 게시합니다. 앞으로도 배포되고 확인되는 대로 계속 추가하겠습니다.