Jurnal keselamatan.

Kerentanan kernel Linux CVE-2026-98432 ditutup

Kerentanan CVE-2026-98432 ditemui dalam cara kernel Linux mengendalikan sambungan TCP masuk. Ia menjejaskan pelayan Linux tanpa mengira perkhidmatan yang dijalankan.

Kernel pelayan platform dan pelayan VPN aktif rakan kongsi yang menggunakan versi sistem yang disokong telah dikemas kini kepada versi yang mengandungi pembetulan.

Had borang sokongan awam diselaraskan

Laporan daripada Parth Narula menunjukkan bahawa dengan alamat e-mel lain, borang sokongan awam kami boleh digunakan untuk menghantar permintaan tambahan. Kami menyelaraskan had borang, jadi menukar alamat tidak lagi memberikan permintaan tambahan. Terima kasih atas laporan yang bertanggungjawab.

Capaian ke antara muka perkhidmatan sokongan telah dihadkan

Seorang penyelidik luar menarik perhatian bahawa antara muka perkhidmatan sokongan boleh dicapai dari internet. Antara muka itu memerlukan pengesahan; tiada tanda capaian tanpa kebenaran atau pendedahan data pengguna ditemui.

Kami mengeluarkan perkhidmatan sokongan daripada permukaan awam: capaian hanya dibenarkan dari alamat yang dipercayai dan melalui saluran dalaman. Tetapan antara muka telah diselaraskan dengan domain yang digunakan, dan sekatan disahkan dari rangkaian luar.

Alamat kembali dihadkan kepada halaman panel

Seorang penyelidik mendapati bahawa alamat kembali dalaman selepas sesi dipulihkan boleh ditafsirkan oleh pelayar sebagai peralihan ke laman luar. Senario ini memerlukan sesi yang sah dan tidak memberi akses kepada akaun atau data.

Kini alamat kembali dipilih daripada senarai tertutup halaman dalaman. Sebarang nilai lain membawa ke halaman utama panel. Pembetulan ini diliputi oleh ujian negatif automatik.

Penguatkuasaan DMARC diaktifkan

Seorang penyelidik keselamatan mendapati bahawa dasar DMARC createyourvpn.com hanya berjalan dalam mod pemantauan dan tidak mewajibkan penolakan mesej yang gagal pengesahan. Kami mengaktifkan p=reject untuk domain utama dan sp=reject untuk subdomainnya yang tidak menghantar mel. Mel transaksi kekal diasingkan pada subdomain penghantaran berasingan dengan dasar SPF, DKIM dan DMARC masing-masing.

MTA-STS dan pelaporan TLS diaktifkan

Seorang penyelidik keselamatan mendapati bahawa MTA-STS dan pelaporan TLS belum dikonfigurasikan untuk mel masuk di createyourvpn.com. Kami menerbitkan dasar MTA-STS dan mengaktifkan pelaporan TLS. Dasar ini pada mulanya berjalan dalam mod ujian sementara kami memeriksa laluan pemajuan pihak ketiga; penguatkuasaan akan diaktifkan selepas laporan bersih.

Kawalan sesi akaun ditambah

Seorang penyelidik keselamatan mendapati bahawa salinan token sesi rakan kongsi boleh kekal aktif selepas log keluar jika diperbaharui secara berasingan. Kami memindahkan sesi kepada satu identiti pada pelayan: log keluar kini membatalkan keseluruhan sesi semasa, manakala tindakan “Log keluar di mana-mana” menamatkan semua sesi aktif.

Bahagian “Sesi akaun” kini tersedia dalam panel. Ia memaparkan log masuk semasa berserta peranti, alamat IP, masa log masuk dan aktiviti terakhir, serta sejarah cubaan log masuk yang berjaya dan gagal selama 90 hari. Mana-mana sesi boleh ditamatkan secara berasingan, atau semuanya sekali gus.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Perlindungan lebih kukuh untuk borang sokongan awam

Penyelidik keselamatan 0xVicky mendapati borang sokongan awam kami boleh disalahgunakan untuk menghantar terlalu banyak permintaan. Kami menambah had bagi setiap pelawat dan trafik keseluruhan, melindungi saluran penghantaran dalaman borang serta mengukuhkan pemeriksaan lampiran. Terima kasih atas laporan yang bertanggungjawab.

Pengurusan sesi dan penghantaran kod log masuk

Berikutan laporan daripada seorang penyelidik luar, kami menyemak dua bidang bersebelahan: kitaran hayat sesi rakan kongsi dan laluan e-mel yang membawa kod log masuk. Tiada satu pun penemuan itu memberi akses kepada akaun, data rakan kongsi atau trafik pengguna.

Pengepala keselamatan pada halaman kedai

Kedai rakan kongsi tidak menghantar pengepala keselamatan yang sudah dihantar panel dan API — termasuk pengepala yang melarang laman lain memaparkan halaman dalam bingkai. Data akaun atau sesi tidak dapat dibaca melalui jalan ini. Kini set lengkap menyertai setiap respons kedai, dan dakwaan SR-15 menamakan setiap frontend yang kami hoskan.

Pengguna boleh menetapkan semula pautan langganan sendiri

Pautan langganan ialah rahsia: sesiapa yang memilikinya mendapat akses yang sama seperti pemiliknya. Pengguna boleh menetapkannya semula sendiri dalam akaunnya: pautan terdahulu berhenti berfungsi dan kelayakan di sebaliknya dikeluarkan semula. Pautan yang ditutup begini kekal tertutup, termasuk apabila data dipulihkan daripada salinan sandaran.

Alamat e-mel pengguna etalase tidak lagi disimpan

Seseorang menaip e-melnya untuk log masuk ke etalase rakan kongsi, tetapi alamat itu tidak kekal pada kami: e-mel dengan kod dihantar dan alamatnya terus dipadam. Akaun dikenali melalui cap jari tak boleh balik yang alamatnya tidak boleh dipulihkan, dan nama akaun juga tidak mengandunginya.

Capaian ke panel pengurusan infrastruktur telah dihadkan

Seorang penyelidik luar melaporkan bahawa antara muka pentadbiran bagi pengurusan infrastruktur memberi respons dari internet awam. Antara muka itu dilindungi pengesahan dan tiada tanda capaian tanpa kebenaran ditemui. Laporan diterima dan capaian dihadkan.

Antara muka kini boleh dicapai hanya dari alamat yang diluluskan, keperluan pengesahan diperketat, dan komponen berkaitan dikemas kini. Hasilnya disahkan dari luar rangkaian kami. Selain itu kami meneliti permukaan awam kami dan menambah pemeriksaan berkala. Ganjaran dibayar pada tahap tertinggi.

Membuang laluan kebenaran API rakan kongsi yang tidak digunakan

API menyokong satu laluan kebenaran tambahan berasaskan cookie yang tidak diperlukan oleh seni bina server-side semasa. Tiada serangan rentas tapak ditemui dalam production, tetapi laluan tambahan itu meluaskan permukaan bagi kesilapan pada masa hadapan. API kini menggunakan satu kaedah kebenaran yang ditakrifkan secara jelas, diliputi oleh ujian negatif.

Terjamin pembersihan kunci pengurusan selepas pemadaman pelayan

Pembersihan kunci pengurusan tersulit dijalankan selepas operasi rangkaian di latar belakang dan mungkin gagal berulang jika operasi itu gagal. Kami mengasingkan pembersihan kunci daripada lata rangkaian dan menambah percubaan semula yang terjamin. Senario pelayan tidak boleh dicapai dan proses terganggu diliputi oleh ujian.

Kunci kriptografi platform dipisahkan mengikut tujuan

Satu semakan dalaman mendapati bahawa satu rahsia digunakan untuk dua tugas kriptografi yang berbeza. Ini tidak mewujudkan pintasan langsung, tetapi meluaskan kesan sekiranya kunci terjejas. Kedua-dua tujuan telah dipisahkan dan setiap satu kini diputar secara bebas.

Mengurangkan permukaan awam production API

Dokumentasi teknikal interaktif API boleh dicapai tanpa pengesahan. Ia tidak memberi akses kepada data terlindung, tetapi memudahkan pengkajian struktur dalaman API. Dalam production, dokumentasi kini dilumpuhkan, sambil kekal tersedia dalam persekitaran terpencil untuk pembangunan.

Ditambah pelindung terhadap konfigurasi cross-origin yang tidak selamat

Konfigurasi production semasa tidak membenarkan origin sewenang-wenangnya, tetapi kod itu membenarkan gabungan parameter yang berbahaya jika seseorang operator tersalah konfigurasi. Gabungan itu kini ditolak semasa permulaan dan diliputi oleh ujian automatik.

Semakan dalaman sebelum pelancaran program

Pada 15 Julai 2026 kami memulakan semakan keselamatan dalaman CreateYourVPN. Pembetulan yang telah kami siapkan dan sahkan semula diterbitkan di bawah; lebih banyak akan menyusul apabila ia digunakan dan disahkan.