Byl publikován release distribuce pro vytváření firewallů OPNsense 26.7, která se v roce 2015 oddělila od projektu pfSense s cílem vyvinout zcela otevřenou distribuci, která by mohla mít funkčnost na úrovni komerčních řešení pro nasazení firewallů a síťových bran. Na rozdíl od pfSense je projekt prezentován jako nezávislý na jedné společnosti, vyvíjený za přímé účasti komunity a mající zcela transparentní proces vývoje, a rovněž poskytující možnost použití jakýchkoli svých výstupů v externích produktech, včetně komerčních. Zdrojové kódy komponentů distribuce a také nástroje používané pro sestavování jsou šířeny pod licencí BSD. Sestavení jsou připravena ve formě LiveCD a systémového obrazu pro záznam na flash disky (490 MB).
Srdcem distribuce je kód FreeBSD. Mezi možnostmi OPNsense: zcela otevřený nástroj pro sestavování, podpora instalace ve formě balíčků nad běžným FreeBSD, prostředky pro vyvažování zátěže, webové rozhraní pro organizaci připojení uživatelů k síti (Captive portal), existují mechanismy sledování stavů připojení (stateful firewall založený na pf), systém omezení propustnosti, filtrování provozu, vytváření VPN na základě IPsec, OpenVPN a PPTP, integrace s LDAP a RADIUS, podpora DDNS (Dynamický DNS), systém přehledných zpráv a grafů.
Na základě distribuce lze vytvářet konfigurace s vysokou dostupností, založené na používání protokolu CARP a umožňující spuštění záložního uzlu vedle hlavního firewallu, který bude automaticky synchronizován na úrovni konfigurace a převezme zátěž v případě selhání primárního uzlu. Pro administrátora je k dispozici webové rozhraní pro nastavení firewallu, postavené s použitím webového frameworku Bootstrap a Phalcon MVC.
Mezi změnami:
- Byl proveden přechod na základní kód FreeBSD 15.1 (dříve byl používán FreeBSD 14.3).
- Rozhraní pro nastavení pravidel firewallů, přiřazování síťových rozhraní (oddělení mezi LAN a WAN) a správu skupin brán bylo převedeno na použití MVC frameworku a je nyní také k dispozici přes Web API pro automatizaci správy síťové konfigurace.
- Byl přidán průvodce pro migraci pravidel pro překlad adres ze starého formátu konfigurace Outbound NAT na nový formát využívající architekturu Source NAT (SNAT).
- Konfigurátoru KEA DHCP byla přidána podpora DDNS (dynamická) a automatického přiřazení prefixů IPv6 (bloků adres).
- Do Captive portálu byla přidána podpora IPv6.
- Byly aktualizovány verze OpenVPN 2.7, PHP 8.5, Python 3.13.
- Byla opravena kritická zranitelnost (CVE-2026-57155, úroveň nebezpečí 9.9 z 10), která umožňuje neprivilegovanému uživateli bez přístupu k shellu a omezeným pracovním aliasům (seznamy s názvy sítí a hostitelů) spustit kód s právy root. Zranitelnost byla způsobena nedostatečnou kontrolou při zpracování dat z DB GeoIP s vazbou na IP adresy.
Kód země z DB GeoIP byl bez kontroly použit při vytváření zapisovaného názvu souboru, což umožnilo přepsat jakýkoli soubor v systému, protože zpracovatel se spouští s právy root. Přes Web API mohl neprivilegovaný uživatel uvést svou URL pro nahrání modifikované DB GeoIP pro aliasy. Aby získal práva root, mohl v jednom z záznamů v DB namísto kódu země uvést „..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn“, což by vedlo ke vzniku konfiguračního souboru pro systém rotace logů, ve kterém mohou být definovány příkazy spouštěné s právy root.
Zdroj: opennet.ru
