Die Veröffentlichung des OPNsense 26.7-Distributionspakets für die Erstellung von Firewalls ist erschienen. Dieses Projekt wurde 2015 von pfSense abgetrennt, um eine vollständig offene Distribution zu entwickeln, die Funktionen auf dem Niveau kommerzieller Lösungen für die Umsetzung von Firewalls und Netzwerk-Gateways bieten kann. Im Gegensatz zu pfSense wird das Projekt als unabhängig von einem Unternehmen positioniert, wird mit aktiver Teilnahme der Community weiterentwickelt und bietet einen vollständig transparenten Entwicklungsprozess. Zudem gestattet es die Verwendung aller eigenen Entwicklungen in externen Produkten, einschließlich kommerziellen. Die Quelltexte der Distributionskomponenten sowie die für den Build verwendeten Tools stehen unter der BSD-Lizenz. Die Builds sind als LiveCD und Systemabbild zum Schreiben auf Flash-Laufwerke (490 MB) verfügbar.
Das Fundament der Distribution basiert auf dem Code von FreeBSD. Zu den Möglichkeiten von OPNsense gehören: ein vollständig offenes Build-Toolkit, Unterstützung für Installationen in Form von Paketen über das reguläre FreeBSD, Lastverteilungstools, ein Web-Interface zur Organisation des Nutzerzugangs zum Netzwerk (Captive Portal), Mechanismen zur Verfolgung des Verbindungsstatus (Stateful Firewall basierend auf pf), eine Bandbreitenbegrenzung und die Möglichkeit zur Traffic-Filterung. VPN auf Basis von IPsec, OpenVPN und PPTP, Integration mit LDAP und RADIUS, Unterstützung von DDNS (Dynamic DNS), ein System für anschauliche Berichte und Grafiken.
Auf der Grundlage der Distribution können ausfalltolerante Konfigurationen erstellt werden, die auf dem CARP-Protokoll basieren und es ermöglichen, neben der primären Firewall einen Backup-Knoten zu starten, der automatisch auf der Konfigurationsebene synchronisiert wird und im Falle eines Ausfalls des primären Knotens die Last übernimmt. Für den Administrator steht ein Web-Interface zur Konfiguration der Firewall zur Verfügung, das mit dem Web-Framework Bootstrap und Phalcon MVC erstellt wurde.
Unter den Änderungen:
- Der Wechsel zur Codebasis von FreeBSD 15.1 wurde vollzogen (zuvor wurde FreeBSD 14.3 verwendet).
- Die Schnittstellen zur Konfiguration der Firewall-Regeln, der Zuweisung von Netzwerkinterfaces (Trennung zwischen LAN und WAN) und zur Verwaltung von Gateway-Gruppen wurden auf die Nutzung des MVC-Frameworks umgestellt und sind nun zusätzlich über eine Web-API für die Automatisierung der Verwaltung der Netzwerkkonfiguration zugänglich.
- Ein Master für die Migration von Adressübersetzungsregeln vom alten Konfigurationsformat Outbound NAT auf das neue Format, das die Architektur Source NAT (SNAT) verwendet, wurde hinzugefügt.
- Der KEA DHCP Konfigurator unterstützt jetzt DDNS (Dynamisch) und die automatische Vergabe von IPv6-Präfixen (Adressblöcken).
- Der Captive Portal unterstützt jetzt IPv6.
- Die Versionen von OpenVPN 2.7, PHP 8.5 und Python 3.13 wurden aktualisiert.
- Eine kritische Sicherheitsanfälligkeit (CVE-2026-57155, Gefährdungsstufe 9.9 von 10) wurde behoben, die es einem nicht privilegierten Benutzer ohne Zugang zur Shell und mit eingeschränkten Aliasfunktionen (Listen mit Netzwerk- und Hostnamen) ermöglichte, Code mit Root-Rechten auszuführen. Die Verwundbarkeit wurde durch fehlende ordnungsgemäße Prüfungen bei der Verarbeitung von Daten aus der GeoIP-Datenbank mit Ländervbindungen verursacht. IP-Adressen.
Der Ländercode aus der GeoIP-Datenbank wurde ohne Überprüfung beim Generieren des zu speichernden Dateinamens eingesetzt, was es ermöglichte, beliebige Dateien im System zu überschreiben, da der Handler mit Root-Rechten gestartet wird. Über die Web-API konnte ein nicht privilegierter Benutzer seine eigene URL für den Upload einer modifizierten GeoIP-Datenbank für Aliase angeben. Um Root-Rechte zu erhalten, konnte er in einem der Einträge in der Datenbank anstelle des Ländercodes „..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn“ angeben, was zur Erstellung einer Konfigurationsdatei für das Rotationssystem für Logs führte, in der Kommandos definiert werden können, die mit Root-Rechten ausgeführt werden.
Quelle: opennet.ru
