บันทึกความปลอดภัย

ปิดช่องโหว่เคอร์เนล Linux CVE-2026-98432 แล้ว

พบช่องโหว่ CVE-2026-98432 ในวิธีที่เคอร์เนล Linux จัดการการเชื่อมต่อ TCP ขาเข้า ช่องโหว่นี้ส่งผลต่อเซิร์ฟเวอร์ Linux ไม่ว่าจะรันบริการใดก็ตาม

เคอร์เนลของเซิร์ฟเวอร์แพลตฟอร์มและเซิร์ฟเวอร์ VPN ที่ใช้งานอยู่ของพาร์ตเนอร์ซึ่งใช้ระบบเวอร์ชันที่รองรับได้รับการอัปเดตเป็นเวอร์ชันที่มีการแก้ไขแล้ว

ปรับขีดจำกัดของแบบฟอร์มช่วยเหลือสาธารณะให้สอดคล้องกัน

รายงานจาก Parth Narula แสดงให้เห็นว่าเมื่อใช้อีเมลอื่น แบบฟอร์มช่วยเหลือสาธารณะของเราจะส่งคำขอเพิ่มเติมได้ เราปรับขีดจำกัดของแบบฟอร์มให้สอดคล้องกัน การเปลี่ยนอีเมลจึงไม่ทำให้ส่งคำขอเพิ่มได้อีกต่อไป ขอบคุณสำหรับการรายงานอย่างรับผิดชอบ

จำกัดการเข้าถึงอินเทอร์เฟซของบริการช่วยเหลือ

นักวิจัยภายนอกชี้ให้เห็นว่าอินเทอร์เฟซของบริการช่วยเหลือเข้าถึงได้จากอินเทอร์เน็ต อินเทอร์เฟซดังกล่าวต้องมีการยืนยันตัวตน และไม่พบร่องรอยการเข้าถึงโดยไม่ได้รับอนุญาตหรือการเปิดเผยข้อมูลผู้ใช้

เรานำบริการช่วยเหลือออกจากพื้นผิวสาธารณะแล้ว: อนุญาตให้เข้าถึงได้จากที่อยู่ที่เชื่อถือได้และผ่านช่องทางภายในเท่านั้น การตั้งค่าอินเทอร์เฟซได้รับการปรับให้สอดคล้องกับโดเมนที่ใช้งานจริง และข้อจำกัดได้รับการตรวจสอบจากเครือข่ายภายนอก

จำกัดที่อยู่สำหรับกลับไว้เฉพาะหน้าของแผงควบคุม

นักวิจัยพบว่าที่อยู่สำหรับกลับที่ระบบใช้ภายในหลังการกู้คืนเซสชัน อาจถูกเบราว์เซอร์ตีความว่าเป็นการไปยังเว็บไซต์ภายนอก สถานการณ์นี้ต้องมีเซสชันที่ใช้งานได้ และไม่ได้เปิดทางให้เข้าถึงบัญชีหรือข้อมูล

ตอนนี้ที่อยู่สำหรับกลับจะถูกเลือกจากรายการปิดของหน้าภายใน ค่าอื่นใดจะพาไปยังหน้าหลักของแผงควบคุม การแก้ไขนี้ครอบคลุมด้วยการทดสอบเชิงลบอัตโนมัติ

เปิดใช้การบังคับใช้ DMARC

นักวิจัยด้านความปลอดภัยพบว่านโยบาย DMARC ของ createyourvpn.com ทำงานในโหมดตรวจสอบเท่านั้น และไม่ได้กำหนดให้ปฏิเสธข้อความที่ไม่ผ่านการยืนยัน เราเปิดใช้ p=reject สำหรับโดเมนหลักและ sp=reject สำหรับซับโดเมนที่ไม่ส่งอีเมล อีเมลธุรกรรมยังคงแยกอยู่บนซับโดเมนส่งต่างหากที่มีนโยบาย SPF, DKIM และ DMARC ของตนเอง

เปิดใช้ MTA-STS และรายงาน TLS

นักวิจัยด้านความปลอดภัยพบว่าอีเมลขาเข้าของ createyourvpn.com ยังไม่ได้กำหนดค่า MTA-STS และรายงาน TLS เราเผยแพร่นโยบาย MTA-STS และเปิดใช้รายงาน TLS ในช่วงแรกนโยบายจะทำงานในโหมดทดสอบระหว่างที่เราตรวจสอบเส้นทางส่งต่อของบุคคลที่สาม และจะเปิดใช้การบังคับใช้หลังจากได้รับรายงานที่ไม่มีข้อผิดพลาด

เพิ่มการควบคุมเซสชันของบัญชี

นักวิจัยด้านความปลอดภัยพบว่าสำเนาโทเค็นของเซสชันพาร์ทเนอร์อาจยังคงใช้งานได้หลังออกจากระบบ หากโทเค็นนั้นถูกรีเฟรชแยกต่างหาก เราเปลี่ยนเซสชันให้ใช้ข้อมูลประจำตัวฝั่งเซิร์ฟเวอร์เดียวกัน: ตอนนี้การออกจากระบบจะเพิกถอนเซสชันปัจจุบันทั้งหมด ส่วนคำสั่ง “ออกจากระบบทุกที่” จะสิ้นสุดเซสชันที่ใช้งานอยู่ทั้งหมด

ในแผงควบคุมมีส่วน “เซสชันของบัญชี” เพิ่มเข้ามา ซึ่งแสดงการเข้าสู่ระบบปัจจุบันพร้อมอุปกรณ์ ที่อยู่ IP เวลาเข้าสู่ระบบ และกิจกรรมล่าสุด รวมถึงประวัติการพยายามเข้าสู่ระบบที่สำเร็จและไม่สำเร็จย้อนหลัง 90 วัน สามารถปิดเซสชันใดก็ได้แยกกัน หรือปิดทั้งหมดพร้อมกัน

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

เพิ่มการป้องกันแบบฟอร์มช่วยเหลือสาธารณะ

นักวิจัยด้านความปลอดภัย 0xVicky พบว่าแบบฟอร์มช่วยเหลือสาธารณะของเราอาจถูกใช้เพื่อส่งคำขอจำนวนมากเกินไป เราเพิ่มขีดจำกัดต่อผู้เยี่ยมชมและสำหรับปริมาณคำขอทั้งหมด ปกป้องช่องทางส่งข้อมูลภายในของแบบฟอร์ม และเพิ่มความเข้มงวดในการตรวจสอบไฟล์แนบ ขอบคุณสำหรับการรายงานอย่างรับผิดชอบ

การจัดการเซสชันและการส่งรหัสเข้าสู่ระบบ

จากรายงานของนักวิจัยภายนอก เราได้ทบทวนสองส่วนที่เกี่ยวเนื่องกัน ได้แก่ วงจรชีวิตของเซสชันพาร์ทเนอร์ และเส้นทางของอีเมลที่มีรหัสเข้าสู่ระบบ ไม่มีข้อค้นพบใดที่เปิดทางให้เข้าถึงบัญชี ข้อมูลพาร์ทเนอร์ หรือทราฟฟิกของผู้ใช้

เฮดเดอร์ความปลอดภัยบนหน้าร้าน

หน้าร้านของพาร์ตเนอร์ไม่ได้ส่งเฮดเดอร์ความปลอดภัยที่แผงควบคุมและ API ส่งอยู่แล้ว รวมถึงเฮดเดอร์ที่ห้ามเว็บไซต์อื่นแสดงหน้าเว็บในเฟรม ช่องทางนี้อ่านข้อมูลบัญชีหรือเซสชันไม่ได้ ตอนนี้ชุดเฮดเดอร์ครบถ้วนถูกส่งไปกับทุกการตอบสนองของหน้าร้าน และข้อยืนยัน SR-15 ระบุทุกฟรอนต์เอนด์ที่เราโฮสต์

ผู้ใช้สามารถรีเซ็ตลิงก์การสมัครสมาชิกของตนเองได้

ลิงก์การสมัครสมาชิกคือความลับ ใครก็ตามที่มีลิงก์นี้จะเข้าถึงได้เท่ากับเจ้าของ ผู้ใช้สามารถรีเซ็ตลิงก์ได้เองจากบัญชีของตน ลิงก์เดิมจะหยุดทำงาน และข้อมูลการเข้าถึงที่อยู่เบื้องหลังจะถูกออกใหม่ ลิงก์ที่ปิดด้วยวิธีนี้จะยังคงปิดอยู่ แม้จะกู้คืนข้อมูลจากข้อมูลสำรองก็ตาม

ไม่เก็บอีเมลของผู้ใช้หน้าร้านอีกต่อไป

ผู้ใช้กรอกอีเมลเพื่อเข้าสู่หน้าร้านของพาร์ทเนอร์ แต่ที่อยู่นั้นไม่ค้างอยู่กับเรา อีเมลที่มีรหัสถูกส่งออกไปและที่อยู่จะถูกลบทันที บัญชีถูกจดจำด้วยลายนิ้วมือแบบย้อนกลับไม่ได้ซึ่งกู้ที่อยู่กลับคืนไม่ได้ และชื่อบัญชีก็ไม่มีที่อยู่อยู่ในนั้น

จำกัดการเข้าถึงแผงจัดการโครงสร้างพื้นฐาน

นักวิจัยภายนอกแจ้งว่าอินเทอร์เฟซสำหรับจัดการโครงสร้างพื้นฐานตอบสนองจากอินเทอร์เน็ตสาธารณะ อินเทอร์เฟซดังกล่าวมีการยืนยันตัวตนป้องกันอยู่ และไม่พบร่องรอยการเข้าถึงโดยไม่ได้รับอนุญาต เรารับรายงานและจำกัดการเข้าถึงแล้ว

ขณะนี้อินเทอร์เฟซเข้าถึงได้จากที่อยู่ที่อนุมัติเท่านั้น ข้อกำหนดการยืนยันตัวตนเข้มงวดขึ้น และองค์ประกอบที่เกี่ยวข้องได้รับการอัปเดตแล้ว ผลลัพธ์ได้รับการตรวจสอบจากนอกเครือข่ายของเรา นอกจากนี้เราได้ทบทวนพื้นผิวสาธารณะและเพิ่มการตรวจสอบเป็นระยะ รางวัลจ่ายในระดับสูงสุด

ลบเส้นทางการอนุญาตของ API พาร์ตเนอร์ที่ไม่ได้ใช้งาน

API รองรับเส้นทางการอนุญาตเพิ่มเติมที่อิงกับ cookie ซึ่งสถาปัตยกรรม server-side ปัจจุบันไม่จำเป็นต้องใช้ ไม่พบการโจมตีข้ามไซต์ใน production แต่เส้นทางส่วนเกินนี้ขยายพื้นผิวของความผิดพลาดในอนาคต ขณะนี้ API ใช้วิธีการอนุญาตเพียงวิธีเดียวที่กำหนดไว้อย่างชัดเจน และครอบคลุมด้วยการทดสอบเชิงลบ

รับประกันการล้างกุญแจการจัดการหลังการลบเซิร์ฟเวอร์

การล้างกุญแจการจัดการที่เข้ารหัสไว้ทำงานหลังการดำเนินการเครือข่ายเบื้องหลัง และอาจไม่ทำซ้ำหากการดำเนินการเหล่านั้นล้มเหลว เราได้แยกการล้างกุญแจออกจากลำดับการทำงานของเครือข่าย และเพิ่มการลองใหม่ที่รับประกันได้ สถานการณ์เซิร์ฟเวอร์ที่เข้าถึงไม่ได้และกระบวนการที่ถูกขัดจังหวะครอบคลุมด้วยการทดสอบ

แยกกุญแจการเข้ารหัสของแพลตฟอร์มตามวัตถุประสงค์

การตรวจสอบภายในพบว่ามีการใช้ความลับเดียวกันสำหรับงานเข้ารหัสสองงานที่แตกต่างกัน สิ่งนี้ไม่ได้ก่อให้เกิดการข้ามการป้องกันโดยตรง แต่ขยายผลกระทบหากกุญแจถูกบุกรุก วัตถุประสงค์ทั้งสองได้ถูกแยกออกจากกัน และแต่ละอย่างจะหมุนเวียนอย่างอิสระแล้ว

ลดพื้นผิวสาธารณะของ production API

เอกสารทางเทคนิคแบบโต้ตอบของ API สามารถเข้าถึงได้โดยไม่ต้องยืนยันตัวตน สิ่งนี้ไม่ได้ให้สิทธิ์เข้าถึงข้อมูลที่ได้รับการป้องกัน แต่ทำให้การศึกษาโครงสร้างภายในของ API ง่ายขึ้น ใน production เอกสารนี้ถูกปิดใช้งานแล้ว โดยยังคงพร้อมใช้งานในสภาพแวดล้อมที่แยกไว้สำหรับการพัฒนา

เพิ่มการป้องกันการตั้งค่า cross-origin ที่ไม่ปลอดภัย

การตั้งค่า production ปัจจุบันไม่อนุญาต origin ตามอำเภอใจ แต่โค้ดยอมให้เกิดการรวมพารามิเตอร์ที่อันตรายได้หากผู้ดูแลตั้งค่าผิดพลาด ขณะนี้การรวมดังกล่าวจะถูกปฏิเสธตอนเริ่มทำงานและครอบคลุมด้วยการทดสอบอัตโนมัติ

การตรวจทานภายในก่อนเปิดตัวโครงการ

เมื่อวันที่ 15 กรกฎาคม 2026 เราได้เริ่มการตรวจสอบความปลอดภัยภายในของ CreateYourVPN การแก้ไขที่เราทำเสร็จและตรวจสอบซ้ำแล้วได้เผยแพร่ไว้ด้านล่าง ส่วนที่เหลือจะทยอยตามมาเมื่อมีการปรับใช้และยืนยันแล้ว