Se ha publicado la versión del sistema operativo OPNsense 26.7, que se separó del proyecto pfSense en 2015 con el objetivo de desarrollar una distribución completamente abierta, que pudiera ofrecer funcionalidades al nivel de soluciones comerciales para implementar cortafuegos y puertas de enlace de red. A diferencia de pfSense, el proyecto se posiciona como un desarrollo no controlado por una sola empresa, promovido con la participación activa de la comunidad y con un proceso de desarrollo totalmente transparente, además de permitir el uso de cualquier desarrollo en productos de terceros, incluidos los comerciales. Los textos fuente de los componentes de la distribución y las herramientas utilizadas para la compilación se distribuyen bajo la licencia BSD. Las compilaciones se presentan en forma de LiveCD y una imagen del sistema para grabar en unidades Flash (490 MB).
El núcleo de la distribución se basa en el código FreeBSD. Entre las características de OPNsense se incluyen: un conjunto de herramientas de compilación completamente abiertas, soporte para instalación en forma de paquetes sobre FreeBSD normal, herramientas de balanceo de carga, interfaz web para la conexión de usuarios a la red (portal cautivo), mecanismos para el seguimiento del estado de las conexiones (cortafuegos stateful basado en pf), sistema de limitación de ancho de banda, filtrado de tráfico, creación VPN basado en IPsec, OpenVPN y PPTP, integración con LDAP y RADIUS, soporte para DDNS (DNS dinámico), sistema de informes y gráficos visuales.
Sobre la base de la distribución, se pueden crear configuraciones de alta disponibilidad, utilizando el protocolo CARP, que permiten iniciar, además del cortafuegos principal, un nodo secundario que se sincronizará automáticamente a nivel de configuración y asumirá la carga en caso de fallo del nodo primario. Se ofrece a los administradores una interfaz web para la configuración del cortafuegos, construida con el marco web Bootstrap y Phalcon MVC.
Entre los cambios:
- Se ha realizado la transición a la base de código FreeBSD 15.1 (anteriormente se utilizaba FreeBSD 14.3).
- Las interfaces para configurar reglas de cortafuegos, asignar interfaces de red (división entre LAN y WAN) y gestionar grupos de puertas de enlace han sido trasladadas al uso del marco MVC y ahora están disponibles adicionalmente a través de la API web para la automatización de la gestión de la configuración de red.
- Se ha añadido un asistente para migrar reglas de traducción de direcciones desde el antiguo formato de configuración Outbound NAT al nuevo formato que utiliza la arquitectura Source NAT (SNAT).
- Se ha añadido soporte para DDNS (Dinámico) y asignación automática de prefijos IPv6 (bloques de direcciones) en el configurador KEA DHCP.
- Se ha añadido soporte para IPv6 en el portal cautivo.
- Se han actualizado las versiones de OpenVPN 2.7, PHP 8.5, Python 3.13.
- Se ha corregido una vulnerabilidad crítica (CVE-2026-57155, nivel de gravedad 9.9 de 10) que permite a un usuario sin privilegios, sin acceso a shell y con limitaciones para trabajar con alias (listas de nombres de redes y hosts), ejecutar código con privilegios de root. La vulnerabilidad se debe a la falta de las debidas comprobaciones al procesar datos de la base de datos GeoIP con asociación de países a direcciones IP.
El código de país de la base de datos GeoIP se insertaba sin validación al formar el nombre del archivo a grabar, lo que permitía sobrescribir cualquier archivo en el sistema, ya que el controlador se ejecuta con privilegios de root. A través de la API web, el usuario sin privilegios podía especificar su URL para cargar una base de datos GeoIP modificada para alias. Para obtener privilegios de root en una de las entradas de la base de datos, se puede especificar "..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn" en lugar del código de país, lo que resultaría en la creación de un archivo de configuración para el sistema de rotación de logs, en el que se pueden definir comandos que se ejecuten con privilegios de root.
Fuente: opennet.ru
