Útgáfa dreifingarsettsins til að búa til eldveggi OPNsense 26.7 hefur verið gefin út, sem árið 2015 skildi sig frá pfSense verkefninu í því skyni að þróa algjörlega opið dreifingarsett sem gæti haft virkni á stigi viðskiptalausna til að setja upp eldveggi og netgáttir. Ólíkt pfSense, er verkefnið staðsett þannig að það sé ekki stjórnað af einu fyrirtæki, þróað með beinni þátttöku samfélagsins og hefur algjörlega gagnsætt þróunarferli, auk þess að gefa tækifæri til að nota hvers kyns þróun þess í vörum þriðja aðila, þ. sjálfur. Frumkóði dreifingarhlutanna, svo og verkfærin sem notuð eru við samsetningu, er dreift undir BSD leyfinu. Samsetningarnar eru útbúnar í formi LiveCD og kerfismynd til upptöku á Flash-drifum (490 MB).
Начинка дистрибутива основывается на коде FreeBSD. Среди возможностей OPNsense: полностью открытый сборочный инструментарий, поддержка установки в форме пакетов поверх обычного FreeBSD, средства балансировки нагрузки, web-интерфейс для организации подключения пользователей к сети (Captive portal), наличие механизмов отслеживания состояний соединений (stateful firewall на основе pf), система ограничения пропускной способности, фильтрация трафика, создание VPN на базе IPsec, OpenVPN og PPTP, samþætting við LDAP og RADIUS, stuðningur við DDNS (Dynamic DNS), kerfi sjónrænna skýrslna og gröf.
Byggt á dreifingunni er hægt að búa til bilunarþolnar stillingar byggðar á notkun CARP samskiptareglunnar og gera þér kleift að ræsa, auk aðaleldveggsins, öryggisafritunarhnút sem verður sjálfkrafa samstilltur á stillingarstigi og mun taka yfir álag ef bilun verður í aðalhnút. Stjórnanda er boðið upp á vefviðmót til að stilla eldvegg, byggt með Bootstrap veframma og Phalcon MVC.
Meðal breytinga:
- Осуществлён переход на кодовую базу FreeBSD 15.1 (ранее использовался FreeBSD 14.3).
- Интерфейсы для настройки правил межсетевых экранов, назначения сетевых интерфейсов (разделение между LAN и WAN) и управления группами шлюзов переведены на использование MVC-фреймворка и теперь дополнительно доступны через Web API для автоматизации управления сетевой конфигурацией.
- Добавлен мастер для миграции правил трансляции адресов со старого формата конфигурации Outbound NAT на новый формат, использующий архитектуру Source NAT (SNAT).
- В конфигуратор KEA DHCP добавлена поддержка DDNS (Dynamic) и автоматического выделения префиксов IPv6 (блоков адресов).
- В Captive portal добавлена поддержка IPv6.
- Uppfærðar útgáfur OpenVPN 2.7, PHP 8.5, Python 3.13.
- Устранена критическая уязвимость (CVE-2026-57155, уровень опасности 9.9 из 10), позволяющая непривилегированному пользователю без доступа к shell и ограниченному работой с алиасами (списки с именами сетей и хостов), выполнить код с правами root. Уязвимость вызвана отсутствием должных проверок при обработке данных из БД GeoIP c привязкой стран к IP-адресам.
Код страны из БД GeoIP без проверки подставлялся при формировании записываемого имени файла, что позволяло перезаписать любой файл в системе, так как обработчик запускается с правами root. Через Web API непривилегированный пользователь мог указать свой URL для загрузки модифицированной БД GeoIP для алиасов. Для получения прав root в одной из записей в БД вместо кода страны можно указать «../../../../../../../../etc/newsyslog.conf.d/zzz_pwn», что приведёт к созданию файла конфигурации для системы ротации логов, в котором могут быть определены команды, запускаемые с правами root.
Heimild: opennet.ru
