Журнал безопасности.

Закрыта уязвимость ядра Linux CVE-2026-98432

В ядре Linux обнаружена уязвимость CVE-2026-98432 в обработке входящих TCP-соединений. Она затрагивает серверы на Linux независимо от того, какой сервис на них работает.

Ядра серверов платформы и работающих VPN-серверов партнёров на поддерживаемых версиях системы обновлены до версии с исправлением.

Выровняли ограничения публичной формы поддержки

Отчёт Parth Narula показал, что при смене адреса электронной почты публичная форма поддержки принимала дополнительные обращения. Мы выровняли ограничения формы, и теперь смена адреса не даёт лишних обращений. Спасибо за ответственное сообщение.

Ограничен доступ к интерфейсу службы поддержки

Внешний исследователь обратил внимание на то, что интерфейс службы поддержки был доступен из интернета. Интерфейс требовал аутентификации; признаков несанкционированного доступа или раскрытия данных пользователей не выявлено.

Мы исключили службу поддержки из публичной поверхности: доступ разрешён только с доверенных адресов и через внутренний канал. Настройки интерфейса приведены в соответствие с рабочим доменом, ограничение проверено из внешней сети.

Адрес возврата ограничен страницами панели

Исследователь обнаружил, что служебный адрес возврата после восстановления сессии мог быть интерпретирован браузером как переход на внешний сайт. Сценарий требовал действующую сессию и не давал доступа к аккаунту или данным.

Теперь адрес возврата выбирается из закрытого списка внутренних страниц. Любое другое значение ведёт на главную страницу панели. Исправление покрыто автоматическими негативными тестами.

Включено принудительное применение DMARC

Исследователь обнаружил, что DMARC-политика createyourvpn.com работала только в режиме мониторинга и не требовала отклонять письма, не прошедшие проверку. Мы включили p=reject для основного домена и sp=reject для его неотправляющих поддоменов. Транзакционные письма по-прежнему изолированы на отдельных отправляющих поддоменах со своими политиками SPF, DKIM и DMARC.

Включены MTA-STS и TLS-отчёты

Исследователь обнаружил, что для входящей почты createyourvpn.com не были настроены MTA-STS и TLS-отчёты. Мы опубликовали MTA-STS-политику и включили TLS-отчёты. Сначала политика работает в режиме testing, пока мы проверяем сторонний маршрут пересылки; enforce включим после чистых отчётов.

Добавлен контроль сессий аккаунта

Исследователь обнаружил, что копия токена партнёрской сессии могла остаться активной после выхода, если была отдельно обновлена. Мы перевели сессии на единый серверный идентификатор: теперь выход отзывает всю текущую сессию, а действие «Выйти на всех устройствах» завершает все активные сессии.

В кабинете появился раздел «Сессии аккаунта». В нём видны текущие входы с устройством, IP-адресом, временем входа и последней активностью, а также история успешных и неудачных попыток входа за 90 дней. Любую сессию можно завершить отдельно или завершить все сразу.

Включили DNSSEC

Исследователь обнаружил отсутствие DNSSEC для createyourvpn.com. Мы подписали DNS-зону, опубликовали DS-запись в .com и подтвердили цепочку доверия.

Усилили защиту публичной формы поддержки

Исследователь 0xVicky обнаружил, что публичную форму поддержки можно было использовать для массовой отправки обращений. Мы добавили ограничения для каждого посетителя и общего потока, защитили внутренний канал отправки и усилили проверку вложений. Спасибо за ответственное сообщение.

Управление сессиями и отправка кодов входа

По отчётам внешнего исследователя мы пересмотрели два смежных участка: жизненный цикл партнёрской сессии и путь письма с кодом входа. Доступа к аккаунтам, данным партнёров или трафику пользователей ни одна из находок не давала.

Security-заголовки на страницах витрин

Витрины партнёров не отдавали security-заголовки, которые панель и API отдавали давно, — в том числе тот, что запрещает чужим сайтам показывать страницу во фрейме. Прочитать так данные аккаунта или сессию было нельзя. Сейчас витрины отдают весь набор, а в тексте SR-15 перечислены все наши фронтенды.

Пользователь может сам сбросить свою ссылку подписки

Ссылка подписки — это секрет: тот, у кого она есть, получает такой же доступ, как её владелец. Пользователь может сбросить её сам в личном кабинете — прежняя ссылка перестаёт работать, а доступы за ней выпускаются заново. Закрытая так ссылка остаётся закрытой, в том числе при восстановлении данных из резервной копии.

Адреса пользователей витрин больше не хранятся

Человек вводит свой email, чтобы войти в витрину партнёра, но у нас этот адрес не оседает: письмо с кодом уходит, и адрес сразу удаляется. Аккаунт узнаётся по необратимому отпечатку, из которого адрес не восстановить, а имя аккаунта его не содержит.

Ограничен доступ к панели управления инфраструктурой

Внешний исследователь сообщил, что административный интерфейс управления инфраструктурой отвечал из публичной сети. Интерфейс был защищён аутентификацией, признаков несанкционированного доступа не обнаружено. Отчёт принят, доступ ограничен.

Сейчас интерфейс доступен только с разрешённых адресов, требования к аутентификации усилены, задействованные компоненты обновлены. Результат проверен из внешней сети. Дополнительно пересмотрена публично доступная поверхность и добавлена её регулярная проверка. Награда выплачена по высшему уровню.

Удалён неиспользуемый способ авторизации партнёрского API

API поддерживал дополнительный cookie-путь авторизации, который не требовался текущей server-side архитектуре. Подтверждённой межсайтовой атаки в production не обнаружено, однако лишний путь увеличивал поверхность будущих ошибок. API переведён на один явно определённый способ авторизации и покрыт негативными тестами.

Гарантирована очистка управляющего ключа после удаления сервера

Очистка зашифрованного управляющего ключа выполнялась после фоновых сетевых операций и могла не повториться при их сбое. Мы отделили очистку ключа от сетевого каскада и добавили гарантированное повторение. Сценарии недоступного сервера и прерывания процесса покрыты тестами.

Разделены криптографические ключи платформы

Внутренняя проверка обнаружила, что один секрет использовался для двух разных криптографических задач. Прямого обхода защиты это не создавало, однако увеличивало последствия компрометации ключа. Назначения разделены и получили независимую ротацию.

Сокращена публичная поверхность production API

Интерактивная техническая документация API была доступна без аутентификации. Это не давало доступа к защищённым данным, но облегчало изучение внутренней структуры API. В production документация теперь отключена, а для разработки остаётся доступна в изолированной среде.

Добавлена защита от небезопасной конфигурации междоменного доступа

Текущая production-конфигурация не разрешала произвольные источники, однако код допускал опасное сочетание параметров при ошибке оператора. Теперь такая конфигурация отклоняется при запуске и покрыта автоматическим тестом.

Внутренняя проверка перед запуском программы

15 июля 2026 года мы начали внутреннюю проверку безопасности CreateYourVPN. Исправления, которые мы завершили и перепроверили, опубликованы ниже; остальные появятся по мере развёртывания и подтверждения.