Nhật ký bảo mật.

Đã xử lý lỗ hổng nhân Linux CVE-2026-98432

Lỗ hổng CVE-2026-98432 được phát hiện trong cách nhân Linux xử lý các kết nối TCP đến. Lỗ hổng này ảnh hưởng đến máy chủ Linux bất kể chúng chạy dịch vụ nào.

Nhân của các máy chủ nền tảng và các máy chủ VPN đang hoạt động của đối tác chạy phiên bản hệ thống được hỗ trợ đã được cập nhật lên phiên bản có bản sửa lỗi.

Đồng bộ giới hạn của biểu mẫu hỗ trợ công khai

Báo cáo của Parth Narula cho thấy khi dùng một địa chỉ email khác, biểu mẫu hỗ trợ công khai của chúng tôi cho phép gửi thêm yêu cầu. Chúng tôi đã đồng bộ các giới hạn của biểu mẫu, nên việc đổi địa chỉ không còn giúp gửi thêm yêu cầu. Xin cảm ơn báo cáo có trách nhiệm.

Đã hạn chế quyền truy cập vào giao diện dịch vụ hỗ trợ

Một nhà nghiên cứu bên ngoài lưu ý rằng giao diện dịch vụ hỗ trợ có thể truy cập được từ internet. Giao diện yêu cầu xác thực; không phát hiện dấu hiệu truy cập trái phép hay lộ dữ liệu người dùng.

Chúng tôi đã đưa dịch vụ hỗ trợ ra khỏi bề mặt công khai: quyền truy cập chỉ được cho phép từ các địa chỉ tin cậy và qua một kênh nội bộ. Cấu hình giao diện đã được điều chỉnh cho phù hợp với tên miền đang sử dụng, và việc hạn chế đã được kiểm chứng từ mạng bên ngoài.

Địa chỉ quay lại được giới hạn trong các trang của bảng điều khiển

Một nhà nghiên cứu phát hiện rằng địa chỉ quay lại nội bộ sau khi khôi phục phiên có thể bị trình duyệt hiểu là chuyển hướng sang một trang web bên ngoài. Kịch bản này đòi hỏi một phiên hợp lệ và không cho phép truy cập vào tài khoản hay dữ liệu.

Giờ đây địa chỉ quay lại được chọn từ một danh sách đóng gồm các trang nội bộ. Mọi giá trị khác đều dẫn về trang chính của bảng điều khiển. Bản sửa lỗi được bao phủ bởi các bài kiểm thử phủ định tự động.

Đã bật thực thi DMARC

Một nhà nghiên cứu bảo mật phát hiện rằng chính sách DMARC của createyourvpn.com chỉ hoạt động ở chế độ giám sát và không yêu cầu từ chối các thư không vượt qua xác thực. Chúng tôi đã bật p=reject cho miền chính và sp=reject cho các miền phụ không gửi thư. Thư giao dịch vẫn được tách riêng trên các miền phụ gửi độc lập với chính sách SPF, DKIM và DMARC riêng.

Đã bật MTA-STS và báo cáo TLS

Một nhà nghiên cứu bảo mật phát hiện rằng MTA-STS và báo cáo TLS chưa được cấu hình cho thư đến của createyourvpn.com. Chúng tôi đã công bố chính sách MTA-STS và bật báo cáo TLS. Ban đầu, chính sách chạy ở chế độ thử nghiệm trong khi chúng tôi kiểm tra đường chuyển tiếp của bên thứ ba; chế độ thực thi sẽ được bật sau khi nhận được các báo cáo không có lỗi.

Đã bổ sung quản lý phiên tài khoản

Một nhà nghiên cứu bảo mật phát hiện rằng bản sao token của phiên đối tác có thể vẫn hoạt động sau khi đăng xuất nếu được làm mới riêng. Chúng tôi chuyển các phiên sang một danh tính phía máy chủ thống nhất: thao tác đăng xuất giờ thu hồi toàn bộ phiên hiện tại, còn “Đăng xuất mọi nơi” kết thúc mọi phiên đang hoạt động.

Bảng điều khiển có thêm mục “Phiên đăng nhập tài khoản”. Mục này hiển thị các lần đăng nhập hiện tại kèm thiết bị, địa chỉ IP, thời điểm đăng nhập và hoạt động gần nhất, cùng lịch sử các lần đăng nhập thành công và thất bại trong 90 ngày. Có thể kết thúc riêng từng phiên hoặc kết thúc tất cả cùng lúc.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Tăng cường bảo vệ biểu mẫu hỗ trợ công khai

Nhà nghiên cứu bảo mật 0xVicky phát hiện biểu mẫu hỗ trợ công khai của chúng tôi có thể bị lạm dụng để gửi quá nhiều yêu cầu. Chúng tôi đã bổ sung giới hạn cho từng khách truy cập và tổng lưu lượng, bảo vệ kênh gửi nội bộ của biểu mẫu và tăng cường kiểm tra tệp đính kèm. Xin cảm ơn báo cáo có trách nhiệm.

Quản lý phiên và gửi mã đăng nhập

Sau các báo cáo từ một nhà nghiên cứu bên ngoài, chúng tôi đã xem xét lại hai mảng liền kề: vòng đời của phiên đối tác và đường đi của email chứa mã đăng nhập. Không phát hiện nào trong số đó cho phép truy cập vào tài khoản, dữ liệu đối tác hay lưu lượng người dùng.

Header bảo mật trên trang cửa hàng

Cửa hàng của đối tác không gửi những header bảo mật mà bảng điều khiển và API đã gửi từ trước — trong đó có header chặn trang web khác nhúng trang vào khung. Không thể đọc dữ liệu tài khoản hay phiên theo cách này. Nay bộ header đầy đủ đi kèm mọi phản hồi của cửa hàng, và tuyên bố SR-15 nêu tên từng frontend chúng tôi vận hành.

Người dùng có thể tự đặt lại liên kết đăng ký của mình

Liên kết đăng ký là một bí mật: ai có nó cũng có quyền truy cập như chủ sở hữu. Người dùng có thể tự đặt lại liên kết trong tài khoản của mình: liên kết trước đó ngừng hoạt động và thông tin truy cập phía sau được cấp lại. Liên kết đã đóng theo cách này vẫn đóng, kể cả khi dữ liệu được khôi phục từ bản sao lưu.

Địa chỉ email của người dùng gian hàng không còn được lưu

Một người nhập email để đăng nhập vào gian hàng của đối tác, nhưng địa chỉ đó không đọng lại ở chỗ chúng tôi: email chứa mã được gửi đi và địa chỉ bị xóa ngay. Tài khoản được nhận ra nhờ một dấu vân một chiều mà từ đó không thể khôi phục địa chỉ, và tên tài khoản cũng không chứa địa chỉ.

Đã hạn chế quyền truy cập vào bảng quản trị hạ tầng

Một nhà nghiên cứu bên ngoài báo rằng một giao diện quản trị hạ tầng có phản hồi từ internet công cộng. Giao diện được bảo vệ bằng xác thực và không tìm thấy dấu hiệu truy cập trái phép. Báo cáo đã được tiếp nhận và quyền truy cập được hạn chế.

Giao diện hiện chỉ truy cập được từ các địa chỉ đã duyệt, yêu cầu xác thực được siết chặt và các thành phần liên quan đã được cập nhật. Kết quả được kiểm chứng từ bên ngoài mạng của chúng tôi. Ngoài ra, chúng tôi đã rà soát bề mặt công khai và bổ sung việc kiểm tra định kỳ. Phần thưởng đã được trả ở mức cao nhất.

Đã loại bỏ một đường ủy quyền không dùng đến của API đối tác

API hỗ trợ một đường ủy quyền bổ sung dựa trên cookie mà kiến trúc server-side hiện tại không cần đến. Không phát hiện cuộc tấn công liên trang nào trong production, nhưng đường bổ sung này làm rộng thêm bề mặt cho các sai sót trong tương lai. API nay dùng một phương thức ủy quyền duy nhất được định nghĩa rõ ràng, và được bao phủ bởi các bài kiểm thử phủ định.

Đã bảo đảm việc xóa khóa quản trị sau khi xóa máy chủ

Việc xóa khóa quản trị đã mã hóa chạy sau các thao tác mạng nền và có thể không lặp lại nếu các thao tác đó thất bại. Chúng tôi đã tách việc xóa khóa khỏi chuỗi thao tác mạng và thêm một lần thử lại được bảo đảm. Các tình huống máy chủ không thể truy cập và tiến trình bị gián đoạn đều được bao phủ bởi các bài kiểm thử.

Đã tách các khóa mật mã của nền tảng theo mục đích

Một cuộc rà soát nội bộ phát hiện rằng một khóa bí mật duy nhất được dùng cho hai công việc mật mã khác nhau. Điều này không tạo ra sự vượt qua trực tiếp, nhưng làm rộng thêm phạm vi ảnh hưởng khi khóa bị lộ. Hai mục đích đã được tách ra và mỗi khóa nay được luân chuyển độc lập.

Đã thu hẹp bề mặt công khai của production API

Tài liệu kỹ thuật tương tác của API có thể truy cập được mà không cần xác thực. Điều này không cấp quyền truy cập dữ liệu được bảo vệ, nhưng khiến việc nghiên cứu cấu trúc nội bộ của API dễ dàng hơn. Trong production, tài liệu này nay đã bị vô hiệu hóa, đồng thời vẫn khả dụng trong một môi trường tách biệt phục vụ phát triển.

Đã thêm cơ chế bảo vệ chống lại cấu hình cross-origin không an toàn

Cấu hình production hiện tại không cho phép các origin tùy ý, nhưng mã nguồn lại cho phép một tổ hợp tham số nguy hiểm nếu người vận hành cấu hình sai. Tổ hợp đó nay bị từ chối ngay khi khởi động và được bao phủ bởi một bài kiểm thử tự động.

Rà soát nội bộ trước khi ra mắt chương trình

Vào ngày 15 tháng 7 năm 2026, chúng tôi đã bắt đầu một cuộc rà soát bảo mật nội bộ đối với CreateYourVPN. Các bản sửa lỗi mà chúng tôi đã hoàn tất và xác minh lại được công bố bên dưới; sẽ có thêm nữa khi chúng được triển khai và xác nhận.