È stato pubblicato il rilascio della distribuzione per la creazione di firewall OPNsense 26.7, che si è separata dal progetto pfSense nel 2015 con l'obiettivo di sviluppare una distribuzione completamente open source, capace di offrire funzionalità pari a quelle delle soluzioni commerciali per il deployment di firewall e gateway di rete. A differenza di pfSense, il progetto si posiziona come indipendente da qualsiasi azienda, sviluppato con la partecipazione attiva della comunità e con un processo di sviluppo completamente trasparente, offrendo inoltre la possibilità di utilizzare le proprie implementazioni in prodotti esterni, anche commerciali. I codici sorgenti dei componenti della distribuzione, così come gli strumenti utilizzati per la compilazione, sono distribuiti sotto licenza BSD. Le compilazioni sono disponibili in forma di LiveCD e immagine di sistema per la registrazione su memorie Flash (490 MB).
Il contenuto della distribuzione si basa sul codice di FreeBSD. Tra le funzionalità di OPNsense: un completo strumento di compilation open source, supporto per l'installazione in forma di pacchetti sopra un normale FreeBSD, strumenti per il bilanciamento del carico, un'interfaccia web per l'organizzazione della connessione degli utenti alla rete (Captive portal), meccanismi per il monitoraggio dello stato delle connessioni (firewall stateful basato su pf), sistema di limitazione della banda, filtraggio del traffico, creazione VPN sulla base di IPsec, OpenVPN e PPTP, integrazione con LDAP e RADIUS, supporto per DDNS (Dynamic DNS), sistema di report e grafici visivi.
Con la distribuzione possono essere create configurazioni ad alta disponibilità basate sull'uso del protocollo CARP, che consentono di avviare, oltre al firewall primario, un nodo di riserva che verrà sincronizzato automaticamente a livello di configurazione e assumerà il carico in caso di guasto del nodo primario. Per l'amministratore è disponibile un'interfaccia web per la configurazione del firewall, realizzata utilizzando il framework web Bootstrap e Phalcon MVC.
Tra le modifiche:
- È stata effettuata la migrazione alla base di codice di FreeBSD 15.1 (in precedenza veniva utilizzato FreeBSD 14.3).
- Le interfacce per la configurazione delle regole dei firewall, per l'assegnazione delle interfacce di rete (separazione tra LAN e WAN) e per la gestione dei gruppi di gateway sono state migrate all'uso del framework MVC e ora sono ulteriormente disponibili tramite API Web per l'automazione della gestione della configurazione di rete.
- È stato aggiunto un master per la migrazione delle regole di traduzione degli indirizzi dal vecchio formato di configurazione Outbound NAT al nuovo formato, che utilizza l'architettura Source NAT (SNAT).
- Nel configuratore KEA DHCP è stata aggiunta la supporto per DDNS (Dynamic) e l'assegnazione automatica dei prefissi IPv6 (blocchi di indirizzi).
- Nel Captive portal è stata aggiunta la supporto per IPv6.
- Aggiornate le versioni di OpenVPN 2.7, PHP 8.5, Python 3.13.
- Risolta una vulnerabilità critica (CVE-2026-57155, livello di sicurezza 9.9 su 10) che consente a un utente non privilegiato senza accesso alla shell e con accesso limitato agli alias (elencare nomi di reti e host) di eseguire codice con diritti root. La vulnerabilità è causata dalla mancanza di controlli adeguati nella gestione dei dati dal database GeoIP associati ai paesi. indirizzi IP..
Il codice paese dal database GeoIP veniva inserito senza verifica durante la generazione del nome del file da salvare, consentendo di sovrascrivere qualsiasi file nel sistema, poiché il processore viene eseguito con diritti root. Attraverso l'API Web, un utente non privilegiato poteva specificare il proprio URL per caricare un database GeoIP modificato per gli alias. Per ottenere i diritti root, in una delle voci del database invece del codice paese si poteva specificare «..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn», il che porterebbe alla creazione di un file di configurazione per il sistema di rotazione dei log, in cui potrebbero essere definite le comandi eseguiti con i diritti root.
Fonte: opennet.ru
