{"id":182658,"date":"2026-07-17T04:53:29","date_gmt":"2026-07-17T02:53:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-distributiva-dlya-sozdaniya-mezhsetevyh-ekranov-opnsense-26-7"},"modified":"2026-07-17T04:53:29","modified_gmt":"2026-07-17T02:53:30","slug":"vypusk-distributiva-dlya-sozdaniya-mezhsetevyh-ekranov-opnsense-26-7","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-distributiva-dlya-sozdaniya-mezhsetevyh-ekranov-opnsense-26-7","title":{"rendered":"Ver\u00f6ffentlichung der Distribution zur Erstellung von Firewalls OPNsense 26.7.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des OPNsense 26.7-Distribution, die 2015 von dem pfSense-Projekt abgetrennt wurde, zielt darauf ab, eine vollst\u00e4ndig offene Distribution zu entwickeln, die Funktionen auf Niveau kommerzieller L\u00f6sungen f\u00fcr die Bereitstellung von Firewalls und Netzwerkgateways bieten kann. Im Gegensatz zu pfSense positioniert sich das Projekt als unabh\u00e4ngig von einem einzelnen Unternehmen, entwickelt mit aktiver Beteiligung der Community und bietet einen vollkommen transparenten Entwicklungsprozess, der die Nutzung aller eigenen Entwicklungen in Drittprodukten, auch kommerziellen, erm\u00f6glicht. Die Quelltexte der Komponenten der Distribution sowie die verwendeten Build-Tools werden unter der BSD-Lizenz distribuiert. Die Builds sind in Form eines LiveCD und eines Systemabbilds f\u00fcr die Installation auf Flash-Speicher (490 MB) verf\u00fcgbar. <\/p>\n
Die Basis des Distribution-Systems basiert auf dem Code von FreeBSD. Zu den Funktionen von OPNsense geh\u00f6ren: vollst\u00e4ndig offenes Build-Tool, Unterst\u00fctzung der Paketinstallation \u00fcber das normale FreeBSD, Lastenausgleich, Web-Interface zur Verbindung von Benutzern mit dem Netzwerk (Captive Portal), Mechanismen zur Verbindungsstatusverfolgung (stateful Firewall basierend auf pf), Bandbreitenbegrenzung, Verkehrsfilterung, Erstellung von VPNs basierend auf IPsec, OpenVPN und PPTP, Integration mit LDAP und RADIUS, Unterst\u00fctzung von DDNS (Dynamic DNS), sowie ein System f\u00fcr anschauliche Berichte und Grafiken. <\/p>\n
Auf Basis dieser Distribution k\u00f6nnen hochverf\u00fcgbare Konfigurationen erstellt werden, die auf dem CARP-Protokoll basieren und es erm\u00f6glichen, neben der Hauptfirewall einen Backup-Knoten zu starten, der automatisch auf Konfigurationsebene synchronisiert wird und die Last im Falle eines Ausfalls des prim\u00e4ren Knotens \u00fcbernimmt. F\u00fcr den Administrator steht ein Web-Interface zur Konfiguration der Firewall zur Verf\u00fcgung, das mit dem Web-Framework Bootstrap und Phalcon MVC aufgebaut wurde. <\/p>\n
Zu den \u00c4nderungen geh\u00f6ren: <\/p>\n
\n
Der \u00dcbergang zur Codebasis FreeBSD 15.1 wurde vollzogen (zuvor wurde FreeBSD 14.3 verwendet).\n
Die Interfaces zur Konfiguration von Firewall-Regeln, der Zuweisung von Netzwerkschnittstellen (Trennung zwischen LAN und WAN) sowie zur Verwaltung von Gateway-Gruppen wurden auf das MVC-Framework umgestellt und sind jetzt zus\u00e4tzlich \u00fcber die Web-API f\u00fcr die Automatisierung des Netzwerkmanagements zug\u00e4nglich.\n
Ein Assistent zur Migration von NAT-Regeln aus dem alten Konfigurationsformat Outbound NAT auf das neue Format, das die Source NAT (SNAT) Architektur verwendet, wurde hinzugef\u00fcgt.\n
Der KEA DHCP-Konfigurator unterst\u00fctzt jetzt DDNS (Dynamic) und die automatische Zuweisung von IPv6-Pr\u00e4fixen (Adressbl\u00f6cken).\n
Der Captive Portal bietet nun Unterst\u00fctzung f\u00fcr IPv6.\n
Die Versionen von OpenVPN 2.7, PHP 8.5 und Python 3.13 wurden aktualisiert.\n
Eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2026-57155, Schweregrad 9,9 von 10) wurde behoben, die es einem nicht privilegierten Benutzer ohne Shell-Zugriff und mit eingeschr\u00e4nkter Nutzung von Aliases (Listen von Netz- und Hostnamen) erm\u00f6glicht, Code mit Root-Rechten auszuf\u00fchren. Die Sicherheitsanf\u00e4lligkeit resultierte aus fehlenden \u00dcberpr\u00fcfungen bei der Verarbeitung von Daten aus der GeoIP-Datenbank zur Zuordnung von L\u00e4ndern zu IP-Adressen.\n
Der aus der GeoIP-Datenbank abgerufene L\u00e4ndercode wurde ohne \u00dcberpr\u00fcfung beim Erstellen des zu speichernden Dateinamens eingef\u00fcgt, was es erm\u00f6glichte, jede Datei im System zu \u00fcberschreiben, da der Handler mit Root-Rechten ausgef\u00fchrt wird. \u00dcber das Web-API konnte ein unprivilegierter Benutzer seine eigene URL angeben, um eine modifizierte GeoIP-Datenbank f\u00fcr Aliasse hochzuladen. Um Root-Rechte zu erlangen, k\u00f6nnte in einem der Eintr\u00e4ge der Datenbank anstelle des L\u00e4ndercodes «..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn» angegeben werden, was zur Erstellung einer Konfigurationsdatei f\u00fcr das Log-Rotationssystem f\u00fchren w\u00fcrde, in der Befehle definiert werden k\u00f6nnen, die mit Root-Rechten ausgef\u00fchrt werden. <\/ul>\n