Distribusi firewall OPNsense 26.7 telah dirilis. Distribusi ini merupakan pengembangan dari proyek pfSense pada tahun 2015 dengan tujuan mengembangkan distribusi sumber terbuka sepenuhnya yang dapat memiliki fungsionalitas solusi firewall dan gateway komersial. Tidak seperti pfSense, proyek ini diposisikan sebagai tidak dikendalikan oleh satu perusahaan, dikembangkan dengan partisipasi langsung dari komunitas dan memiliki proses pengembangan yang sepenuhnya transparan, serta memberikan kesempatan untuk menggunakan salah satu perkembangannya dalam produk pihak ketiga, termasuk yang komersial. Kode sumber komponen distribusi, serta alat yang digunakan untuk perakitan, didistribusikan di bawah lisensi BSD. Rakitan disiapkan dalam bentuk LiveCD dan citra sistem untuk direkam pada Flash drive (490 MB).
Inti dari distribusi ini didasarkan pada kode FreeBSD. Fitur-fitur OPNsense meliputi: toolchain build yang sepenuhnya open-source, dukungan untuk instalasi sebagai paket di atas FreeBSD biasa, alat penyeimbangan beban, antarmuka web untuk mengatur koneksi pengguna ke jaringan (Captive Portal), mekanisme pelacakan status koneksi (firewall stateful berbasis pf), sistem pembatasan bandwidth, penyaringan lalu lintas, dan pembuatan VPN berbasis IPsec. OpenVPN dan PPTP, integrasi dengan LDAP dan RADIUS, dukungan DDNS (Dynamic DNS), sistem laporan dan grafik visual.
Berdasarkan distribusi, dimungkinkan untuk membuat konfigurasi toleransi kesalahan berdasarkan penggunaan protokol CARP dan memungkinkan untuk meluncurkan, selain firewall utama, node cadangan, yang akan secara otomatis disinkronkan pada tingkat konfigurasi dan akan mengambil alih beban jika terjadi kegagalan node primer. Administrator ditawari antarmuka web untuk mengonfigurasi firewall, yang dibangun menggunakan kerangka kerja web Bootstrap dan Phalcon MVC.
Diantara perubahannya:
- Transisi ke basis kode FreeBSD 15.1 telah selesai (sebelumnya menggunakan FreeBSD 14.3).
- Antarmuka untuk mengkonfigurasi aturan firewall, menetapkan antarmuka jaringan (memisahkan antara LAN dan WAN), dan mengelola grup gateway telah dimigrasikan untuk menggunakan kerangka kerja MVC dan sekarang juga dapat diakses melalui Web API untuk mengotomatiskan manajemen konfigurasi jaringan.
- Menambahkan wizard untuk memigrasi aturan penerjemahan alamat dari format konfigurasi Outbound NAT lama ke format baru menggunakan arsitektur Source NAT (SNAT).
- Dukungan untuk DDNS (Dinamis) dan alokasi otomatis prefiks IPv6 (blok alamat) telah ditambahkan ke konfigurator DHCP KEA.
- Dukungan IPv6 telah ditambahkan ke portal captive.
- Versi yang diperbarui OpenVPN 2.7, PHP 8.5, Python 3.13.
- Kerentanan kritis (CVE-2026-57155, tingkat keparahan 9.9 dari 10) telah diperbaiki. Kerentanan ini memungkinkan pengguna tanpa hak istimewa dan tanpa akses shell serta akses terbatas ke alias (daftar nama jaringan dan host) untuk mengeksekusi kode dengan hak akses root. Kerentanan ini disebabkan oleh kurangnya pemeriksaan yang tepat saat memproses data dari basis data GeoIP yang mengaitkan negara dengan alamat IP.
Kode negara dari basis data GeoIP diganti tanpa verifikasi saat menghasilkan nama file yang akan ditulis, sehingga memungkinkan file apa pun dalam sistem untuk ditimpa, karena penangan berjalan dengan hak akses root. Pengguna tanpa hak akses dapat menggunakan Web API untuk menentukan URL untuk mengunduh basis data GeoIP yang dimodifikasi untuk alias. Untuk mendapatkan hak akses root, seseorang dapat menentukan "../../../../../../../../etc/newsyslog.conf.d/zzz_pwn" sebagai pengganti kode negara dalam salah satu entri basis data. Ini akan membuat file konfigurasi untuk sistem rotasi log, yang dapat mendefinisikan perintah yang dijalankan dengan hak akses root.
Sumber: opennet.ru
