Dziennik bezpieczeństwa.

Zamknięto lukę jądra Linux CVE-2026-98432

Wykryto lukę CVE-2026-98432 w sposobie, w jaki jądro Linux obsługuje przychodzące połączenia TCP. Dotyczy ona serwerów Linux niezależnie od działającej na nich usługi.

Jądra serwerów platformy oraz aktywnych serwerów VPN partnerów z obsługiwanymi wersjami systemu zostały zaktualizowane do wersji z poprawką.

Ujednolicone limity publicznego formularza pomocy

Raport od Parth Narula wykazał, że po podaniu innego adresu e-mail nasz publiczny formularz pomocy pozwalał wysłać dodatkowe zgłoszenia. Ujednoliciliśmy limity formularza, więc zmiana adresu nie daje już dodatkowych zgłoszeń. Dziękujemy za odpowiedzialne zgłoszenie.

Ograniczono dostęp do interfejsu działu wsparcia

Zewnętrzny badacz zwrócił uwagę, że interfejs działu wsparcia był dostępny z internetu. Interfejs wymagał uwierzytelnienia; nie wykryto śladów nieuprawnionego dostępu ani ujawnienia danych użytkowników.

Wyłączyliśmy dział wsparcia z publicznej powierzchni: dostęp jest dozwolony tylko z zaufanych adresów i przez wewnętrzny kanał. Ustawienia interfejsu dostosowano do używanej domeny, a ograniczenie sprawdzono z sieci zewnętrznej.

Adres powrotu ograniczony do stron panelu

Badacz bezpieczeństwa odkrył, że wewnętrzny adres powrotu po przywróceniu sesji mógł zostać zinterpretowany przez przeglądarkę jako przejście na zewnętrzną stronę. Scenariusz wymagał ważnej sesji i nie dawał dostępu do konta ani danych.

Adres powrotu jest teraz wybierany z zamkniętej listy stron wewnętrznych. Każda inna wartość prowadzi do strony głównej panelu. Poprawka jest objęta automatycznymi testami negatywnymi.

Włączono egzekwowanie DMARC

Badacz bezpieczeństwa odkrył, że polityka DMARC dla createyourvpn.com działała wyłącznie w trybie monitorowania i nie wymagała odrzucania wiadomości, które nie przeszły weryfikacji. Włączyliśmy p=reject dla domeny głównej i sp=reject dla jej subdomen, które nie wysyłają poczty. Poczta transakcyjna pozostaje odizolowana na osobnych subdomenach wysyłkowych z własnymi politykami SPF, DKIM i DMARC.

Włączono MTA-STS i raportowanie TLS

Badacz bezpieczeństwa odkrył, że dla poczty przychodzącej w createyourvpn.com nie skonfigurowano MTA-STS ani raportowania TLS. Opublikowaliśmy politykę MTA-STS i włączyliśmy raportowanie TLS. Polityka działa najpierw w trybie testowym, gdy sprawdzamy ścieżkę przekazywania zewnętrznego dostawcy; egzekwowanie włączymy po bezbłędnych raportach.

Dodano kontrolę sesji konta

Badacz bezpieczeństwa odkrył, że kopia tokenu sesji partnera mogła pozostać aktywna po wylogowaniu, jeśli została odświeżona osobno. Przenieśliśmy sesje na jeden identyfikator po stronie serwera: wylogowanie unieważnia teraz całą bieżącą sesję, a opcja „Wyloguj wszędzie” kończy wszystkie aktywne sesje.

W panelu pojawiła się sekcja „Sesje konta”. Widać w niej bieżące logowania z urządzeniem, adresem IP, czasem logowania i ostatnią aktywnością, a także historię udanych i nieudanych prób logowania z 90 dni. Każdą sesję można zakończyć osobno albo zakończyć wszystkie naraz.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Wzmocniona ochrona publicznego formularza pomocy

Badacz bezpieczeństwa 0xVicky odkrył, że nasz publiczny formularz pomocy można było wykorzystać do wysyłania nadmiernej liczby zgłoszeń. Dodaliśmy limity dla każdego odwiedzającego i całego ruchu, zabezpieczyliśmy wewnętrzny kanał wysyłania formularza oraz wzmocniliśmy weryfikację załączników. Dziękujemy za odpowiedzialne zgłoszenie.

Zarządzanie sesjami i wysyłka kodów logowania

Na podstawie zgłoszeń zewnętrznego badacza przejrzeliśmy dwa sąsiadujące obszary: cykl życia sesji partnera oraz drogę wiadomości z kodem logowania. Żadne ze zgłoszeń nie dawało dostępu do kont, danych partnerów ani ruchu użytkowników.

Nagłówki bezpieczeństwa na stronach sklepów

Sklepy partnerów nie wysyłały nagłówków bezpieczeństwa, które panel i API wysyłały już wcześniej — w tym tego, który zabrania obcym witrynom wyświetlania strony w ramce. Tą drogą nie dało się odczytać danych konta ani sesji. Teraz pełny zestaw towarzyszy każdej odpowiedzi sklepu, a twierdzenie SR-15 wymienia każdy hostowany przez nas frontend.

Użytkownik może samodzielnie zresetować swój link subskrypcji

Link subskrypcji jest sekretem: kto go ma, uzyskuje taki sam dostęp jak jego właściciel. Użytkownik może zresetować go samodzielnie w swoim koncie — poprzedni link przestaje działać, a powiązane dane dostępowe są wydawane na nowo. Tak zamknięty link pozostaje zamknięty, także po przywróceniu danych z kopii zapasowej.

Adresy e-mail użytkowników witryn nie są już przechowywane

Osoba wpisuje swój e-mail, aby zalogować się do witryny partnera, ale adres u nas nie zostaje: wiadomość z kodem wychodzi, a adres jest od razu usuwany. Konto rozpoznajemy po nieodwracalnym odcisku, z którego adresu nie da się odtworzyć, a nazwa konta również go nie zawiera.

Ograniczono dostęp do panelu zarządzania infrastrukturą

Zewnętrzny badacz zgłosił, że interfejs administracyjny do zarządzania infrastrukturą odpowiadał z publicznego internetu. Interfejs był chroniony uwierzytelnianiem, nie znaleziono śladów nieuprawnionego dostępu. Zgłoszenie zostało przyjęte, a dostęp ograniczony.

Interfejs jest teraz dostępny wyłącznie z zatwierdzonych adresów, wymagania uwierzytelniania zostały wzmocnione, a zaangażowane komponenty zaktualizowane. Wynik zweryfikowano spoza naszej sieci. Dodatkowo przejrzeliśmy naszą powierzchnię publiczną i wprowadziliśmy jej regularną kontrolę. Nagrodę wypłacono w najwyższym progu.

Usunięto nieużywaną ścieżkę autoryzacji partnerskiego API

API obsługiwało dodatkową ścieżkę autoryzacji opartą na cookie, której obecna architektura server-side nie potrzebowała. W production nie stwierdzono ataku międzywitrynowego, ale dodatkowa ścieżka poszerzała powierzchnię przyszłych błędów. API korzysta teraz z jednej, jawnie zdefiniowanej metody autoryzacji, objętej testami negatywnymi.

Zagwarantowano czyszczenie klucza zarządzającego po usunięciu serwera

Czyszczenie zaszyfrowanego klucza zarządzającego uruchamiało się po operacjach sieciowych w tle i mogło się nie powtórzyć, jeśli operacje te zawiodły. Oddzieliliśmy czyszczenie klucza od kaskady sieciowej i dodaliśmy gwarantowane ponowienie. Scenariusze niedostępnego serwera i przerwanego procesu są objęte testami.

Rozdzielono klucze kryptograficzne platformy według przeznaczenia

Wewnętrzny przegląd wykazał, że jeden sekret był używany do dwóch różnych zadań kryptograficznych. Nie tworzyło to bezpośredniego obejścia, ale poszerzało skutki kompromitacji klucza. Oba przeznaczenia zostały rozdzielone i każde jest teraz rotowane niezależnie.

Zmniejszono publiczną powierzchnię production API

Interaktywna dokumentacja techniczna API była dostępna bez uwierzytelniania. Nie dawała dostępu do chronionych danych, ale ułatwiała badanie wewnętrznej struktury API. W production dokumentacja jest teraz wyłączona, pozostając dostępna w izolowanym środowisku na potrzeby programowania.

Dodano zabezpieczenie przed niebezpieczną konfiguracją cross-origin

Obecna konfiguracja production nie zezwalała na dowolne origins, jednak kod dopuszczał niebezpieczną kombinację parametrów, gdyby operator błędnie ją skonfigurował. Taka kombinacja jest teraz odrzucana przy starcie i objęta zautomatyzowanym testem.

Wewnętrzny przegląd przed startem programu

15 lipca 2026 roku rozpoczęliśmy wewnętrzny przegląd bezpieczeństwa CreateYourVPN. Poprawki, które ukończyliśmy i ponownie zweryfikowaliśmy, publikujemy poniżej; kolejne będą się pojawiać w miarę ich wdrażania i potwierdzania.