Die Veröffentlichung des OPNsense 26.7-Distribution, die 2015 von dem pfSense-Projekt abgetrennt wurde, zielt darauf ab, eine vollstĂ€ndig offene Distribution zu entwickeln, die Funktionen auf Niveau kommerzieller Lösungen fĂŒr die Bereitstellung von Firewalls und Netzwerkgateways bieten kann. Im Gegensatz zu pfSense positioniert sich das Projekt als unabhĂ€ngig von einem einzelnen Unternehmen, entwickelt mit aktiver Beteiligung der Community und bietet einen vollkommen transparenten Entwicklungsprozess, der die Nutzung aller eigenen Entwicklungen in Drittprodukten, auch kommerziellen, ermöglicht. Die Quelltexte der Komponenten der Distribution sowie die verwendeten Build-Tools werden unter der BSD-Lizenz distribuiert. Die Builds sind in Form eines LiveCD und eines Systemabbilds fĂŒr die Installation auf Flash-Speicher (490 MB) verfĂŒgbar.
Die Basis des Distributions-Images beruht auf dem Code von FreeBSD. Zu den Funktionen von OPNsense gehören: ein vollstĂ€ndig offenes Build-Werkzeug, die UnterstĂŒtzung fĂŒr die Installation von Paketen ĂŒber das regulĂ€re FreeBSD, Lastenausgleich, eine webbasierte OberflĂ€che zur Organisation der Benutzeranbindung (Captive Portal), Mechanismen zur Verfolgung des Verbindungsstatus (Stateful Firewall basierend auf pf), eine BandbreitenbeschrĂ€nkung, die Filterung des Datenverkehrs und die Erstellung VPN auf Basis von IPsec, OpenVPN und PPTP, Integration mit LDAP und RADIUS, UnterstĂŒtzung fĂŒr DDNS (Dynamic DNS), sowie ein System zur visuellen Berichterstattung und Grafiken.
Auf Basis dieser Distribution können hochverfĂŒgbare Konfigurationen erstellt werden, die auf dem CARP-Protokoll basieren und es ermöglichen, neben der Hauptfirewall einen Backup-Knoten zu starten, der automatisch auf Konfigurationsebene synchronisiert wird und die Last im Falle eines Ausfalls des primĂ€ren Knotens ĂŒbernimmt. FĂŒr den Administrator steht ein Web-Interface zur Konfiguration der Firewall zur VerfĂŒgung, das mit dem Web-Framework Bootstrap und Phalcon MVC aufgebaut wurde.
Zu den Ănderungen gehören:
- Der Ăbergang zur Codebasis FreeBSD 15.1 wurde vollzogen (zuvor wurde FreeBSD 14.3 verwendet).
- Die Interfaces zur Konfiguration von Firewall-Regeln, der Zuweisung von Netzwerkschnittstellen (Trennung zwischen LAN und WAN) sowie zur Verwaltung von Gateway-Gruppen wurden auf das MVC-Framework umgestellt und sind jetzt zusĂ€tzlich ĂŒber die Web-API fĂŒr die Automatisierung des Netzwerkmanagements zugĂ€nglich.
- Ein Assistent zur Migration von NAT-Regeln aus dem alten Konfigurationsformat Outbound NAT auf das neue Format, das die Source NAT (SNAT) Architektur verwendet, wurde hinzugefĂŒgt.
- Der KEA DHCP-Konfigurator unterstĂŒtzt jetzt DDNS (Dynamic) und die automatische Zuweisung von IPv6-PrĂ€fixen (Adressblöcken).
- Der Captive Portal bietet nun UnterstĂŒtzung fĂŒr IPv6.
- Die Versionen von OpenVPN 2.7, PHP 8.5 und Python 3.13 wurden aktualisiert.
- Eine kritische SicherheitslĂŒcke wurde geschlossen (CVE-2026-57155, GefĂ€hrdungsgrad 9,9 von 10), die es einem nicht privilegierten Benutzer ohne Zugriff auf die Shell und mit eingeschrĂ€nkter Nutzung von Aliasen (Listen mit Netzwerk- und Hostnamen) ermöglicht, Code mit Root-Rechten auszufĂŒhren. Die SicherheitsanfĂ€lligkeit wurde durch fehlende ausreichende PrĂŒfungen beim Verarbeiten von Daten aus der GeoIP-Datenbank mit LĂ€nderzuweisungen verursacht. IP-Adressen.
Der LĂ€ndercode aus der GeoIP-Datenbank wurde ohne ĂberprĂŒfung beim Erstellen des Dateinamens verwendet, was es ermöglichte, jede Datei im System zu ĂŒberschreiben, da der Handler mit Root-Rechten ausgefĂŒhrt wird. Ăber die Web-API konnte ein nicht privilegierter Benutzer seine eigene URL angeben, um eine modifizierte GeoIP-Datenbank fĂŒr Aliase hochzuladen. Um Root-Rechte zu erhalten, konnte in einem der DatensĂ€tze anstelle des LĂ€ndercodes â../../../../../../../../etc/newsyslog.conf.d/zzz_pwnâ angegeben werden, was zur Erstellung einer Konfigurationsdatei fĂŒr das Log-Rotationssystem fĂŒhrt, in der Befehle definiert werden können, die mit Root-Rechten ausgefĂŒhrt werden.
Quelle: opennet.ru
