Megjelent az OPNsense 26.7 tűzfal-disztribúció kiadása, amely 2015-ben vált el a pfSense projekttől a célból, hogy egy teljesen nyílt disztribúciót fejlesszenek ki, amely olyan funkciókkal rendelkezik, mint a kereskedelmi megoldások tűzfalak és hálózati átjárók telepítésére. A pfSense-től eltérően a projektet nem egy cég irányítja, hanem közvetlen közösségi részvétellel fejlődik, teljesen átlátható fejlesztési folyamattal rendelkezik és lehetőséget biztosít a saját fejlesztéseinek felhasználására harmadik fél termékeiben, beleértve a kereskedelmi termékeket is. A disztribúció összes komponensének forráskódja, valamint az építéshez használt eszközök BSD licenc alatt terjesztésre kerülnek. Az építmények LiveCD formájában és Flash-meghajtókra írásra alkalmas rendszerképként érhetők el (490 MB).
A disztribúció alapja a FreeBSD kódja. Az OPNsense lehetőségei között szerepel: teljesen nyílt gyűjtőeszköz, csomagok formájában történő telepítési támogatás a hagyományos FreeBSD fölé, terheléselosztási eszközök, webes felület a felhasználók hálózathoz való csatlakoztatásához (Captive portal), kapcsolatállapot-nyomkövető mechanizmusok (stateful firewall pf-alapján), sávszélességkorlátozó rendszer, forgalom szűrése, létrehozás. VPN IPsec, OpenVPN és PPTP alapú, LDAP és RADIUS integráció, DDNS (Dynamic DNS) támogatás, látványos jelentés- és grafikonrendszer.
A disztribúció alapjain hibatűrő konfigurációk hozhatók létre, amelyek a CARP protokoll használatán alapulnak, és lehetővé teszik egy tartalék tűzfal csomópont indítását, amely automatikusan szinkronizálódik a fő konfigurációval, és átveszi a terhelést az elsődleges csomópont meghibásodása esetén. Az adminisztrátor számára webes felület áll rendelkezésre a tűzfal beállításához, amely a Bootstrap és a Phalcon MVC webes keretrendszer felhasználásával készült.
A változtatások közül:
- Áttértek a FreeBSD 15.1 kódalapra (korábban FreeBSD 14.3-at használtak).
- A tűzfalszabályok beállítására, a hálózati interfészek kiosztására (LAN és WAN közötti megkülönböztetés) és a gateway csoportok kezelésére vonatkozó felületeket MVC keretrendszerre állították át, és mostantól elérhetők a web API-n keresztül a hálózati konfiguráció automatizált kezelésére.
- Új varázslót adtak hozzá a címfordítási szabályok migrálásához a régi Outbound NAT konfigurációs formátumból az új formátumba, amely a Source NAT (SNAT) architektúrát használja.
- A KEA DHCP konfigurátorhoz hozzáadták a DDNS (Dinamikus) támogatást és az IPv6 prefixek (címblokkok) automatikus kiosztását.
- A Captive portalhoz IPv6 támogatás került hozzáadásra.
- Frissítve lettek az OpenVPN 2.7, PHP 8.5 és Python 3.13 verziók.
- Egy kritikus sebezhetőséget javítottak (CVE-2026-57155, veszélyességi szint 9,9 a 10-ből), amely lehetővé tette a nem privilegizált felhasználók számára, akiknek nincs shell-hozzáférésük és korlátozott munkájuk van az aliasokkal (hálózatok és hosztnevek listája), hogy root jogokkal kódot futtassanak. A sebezhetőség a GeoIP adatbázisból származó adatok megfelelő ellenőrzéseinek hiányából adódik, amely az országokhoz való hozzárendelés útján keletkezett. IP-címek.
A GeoIP country code was inserted from the database without verification during the generation of the file name, which allowed overwriting any file in the system, as the handler runs with root privileges. Through the Web API, an unprivileged user could specify their URL to upload a modified GeoIP database for aliases. To obtain root privileges, one could enter "..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn" instead of the country code in one of the database entries, which would create a configuration file for the log rotation system, where commands could be defined that run with root privileges.
Forrás: opennet.ru
