Издаден е новият релиз на дистрибуцията за създаване на междусетеви экрани OPNsense 26.7, който през 2015 г. се отдели от проекта pfSense с цел да разработи напълно отворена дистрибуция, която да притежава функционалност на ниво търговски решения за внедряване на междусетеви экрани и мрежови шлюзове. В отличие от pfSense проектът се позиционира като неподконтролируем от една компания, развиван с непосредствено участие на общността и с напълно прозрачен процес на разработка, предоставяйки възможност за използването на своите разработки в трети продукти, включително търговски. Източните кодове на компонентите на дистрибуцията, както и инструментите, използвани за изграждане, се разпространяват под лицензия BSD. Сборките са приготвени под формата на LiveCD и системен образ за записване на Flash памет (490 МБ).
Съдържанието на дистрибуцията е базирано на кода на FreeBSD. Сред възможностите на OPNsense: напълно отворен инструментариум за изграждане, поддръжка на инсталации под формата на пакети върху обикновен FreeBSD, средства за баланс на натоварването, уеб интерфейс за организиране на свързването на потребителите към мрежата (Captive portal), наличието на механизми за проследяване на състоянията на връзките (stateful firewall на базата pf), система за ограничаване на пропускателната способност, филтриране на трафика, създаване VPN на базата на IPsec, OpenVPN и PPTP, интеграция с LDAP и RADIUS, поддръжка на DDNS (Dynamic DNS), система за визуализации и графики.
На базата на дистрибуцията могат да се създават отказоустойчиви конфигурации, основани на използването на протокола CARP и позволяващи да се стартира в допълнение към основния междусетеви екран резервен възел, който автоматично ще се синхронизира на ниво конфигурация и ще поеме натоварването в случай на срив на основния възел. За администратора се предлага уеб интерфейс за настройка на междусетевите экрани, изграден с използването на уеб фреймворка Bootstrap и Phalcon MVC.
Сред промените:
- Извършен е преминаването на кодовата база на FreeBSD 15.1 (по-рано се използваше FreeBSD 14.3).
- Интерфейсите за настройка на правилата на междусетевите экрани, назначаването на мрежови интерфейси (разделение между LAN и WAN) и управлението на групи от шлюзове са преведени да използват MVC-фреймворка и вече са допълнително достъпни чрез Web API за автоматизация на управлението на мрежовата конфигурация.
- Добавен е майстор за мигриране на правила за транслация на адреси от стария формат на конфигурация Outbound NAT към нов формат, използващ архитектурата на Source NAT (SNAT).
- В конфигуратора KEA DHCP е добавена поддръжка за DDNS (Dynamic) и автоматично разпределяне на IPv6 префикси (блокове с адреси).
- В Captive portal е добавена поддръжка за IPv6.
- Актуализирани са версиите на OpenVPN 2.7, PHP 8.5, Python 3.13.
- Отстранена е критична уязвимост (CVE-2026-57155, ниво на опасност 9.9 от 10), позволяваща на непривилегирован потребител без достъп до shell и с ограничена работа с алиаси (списъци с имената на мрежи и хостове) да изпълни код с права root. Уязвимостта е причинена от недостатъчни проверки при обработката на данни от GeoIP базата данни, свързваща страните с. IP адреси.
Кодът на страната от GeoIP базата данни без проверка е вмъкван при формирането на записа на файла, позволявайки презаписването на всеки файл в системата, тъй като обработчикът се стартира с права root. Чрез Web API непривилегирован потребител можеше да посочи свой URL за качване на модифицирана GeoIP база данни за алиаси. За получаване на права root в една от записите в базата данни вместо кода на страната може да се укаже "..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn", което ще доведе до създаването на конфигурационен файл за системата за ротация на логове, в който могат да бъдат определени команди, стартирани с права root.
Източник: opennet.ru
