È stata rilasciata la versione 26.7 della distribuzione per la creazione di firewall OPNsense, che nel 2015 si è distaccata dal progetto pfSense per sviluppare una distribuzione completamente aperta, in grado di offrire funzionalità a livello di soluzioni commerciali per l'implementazione di firewall e gateway di rete. A differenza di pfSense, il progetto si posiziona come non controllato da un'unica azienda, sviluppato con il diretto coinvolgimento della comunità e con un processo di sviluppo completamente trasparente, offrendo anche la possibilità di utilizzare le proprie intuizioni in prodotti di terze parti, inclusi quelli commerciali. I codici sorgente dei componenti della distribuzione, insieme agli strumenti utilizzati per la compilazione, sono distribuiti sotto licenza BSD. Le versioni sono disponibili in formato LiveCD e come immagine di sistema per la registrazione su unità Flash (490 MB).
Il sistema operativo si basa sul codice di FreeBSD. Tra le funzionalità di OPNsense: un toolkit completamente aperto, supporto per l'installazione tramite pacchetti su un comune FreeBSD, strumenti di bilanciamento del carico, un'interfaccia web per gestire la connessione degli utenti alla rete (Captive portal), meccanismi per il monitoraggio dello stato delle connessioni (firewall stateful basato su pf), sistema di limitazione della larghezza di banda, filtraggio del traffico, creazione VPN basato su IPsec, OpenVPN e PPTP, integrazione con LDAP e RADIUS, supporto DDNS (DNS dinamico), sistema di report e grafici intuitivi.
Sulla base della distribuzione possono essere create configurazioni ridondanti, basate sull'uso del protocollo CARP, che consentono di avviare un nodo di backup oltre al firewall principale, il quale verrà automaticamente sincronizzato a livello di configurazione e assumerà il carico in caso di guasto del nodo primario. Per l'amministratore, è disponibile un'interfaccia web per configurare il firewall, costruita utilizzando il framework web Bootstrap e Phalcon MVC.
Tra le novità:
- È avvenuto il passaggio alla base di codice di FreeBSD 15.1 (precedentemente era utilizzato FreeBSD 14.3).
- Le interfacce per la configurazione delle regole dei firewall, l'assegnazione delle interfacce di rete (separazione tra LAN e WAN) e la gestione dei gruppi di gateway sono state convertite per utilizzare il framework MVC e sono ora ulteriormente disponibili tramite Web API per l'automazione della gestione della configurazione di rete.
- È stato aggiunto un wizard per la migrazione delle regole di traduzione degli indirizzi dal vecchio formato di configurazione Outbound NAT al nuovo formato, che utilizza l'architettura Source NAT (SNAT).
- Il configuratore KEA DHCP ora supporta DDNS (Dynamic) e l'assegnazione automatica dei prefissi IPv6 (blocchi di indirizzi).
- Supporto per IPv6 aggiunto al Captive portal.
- Aggiornate le versioni di OpenVPN 2.7, PHP 8.5, Python 3.13.
- È stata rimossa una vulnerabilità critica (CVE-2026-57155, livello di pericolo 9.9 su 10), che consente a un utente non privilegiato senza accesso alla shell e con limitazioni nel lavoro con alias (elenco di nomi di reti e host) di eseguire codice con diritti di root. La vulnerabilità è causata dall'assenza di adeguati controlli nella gestione dei dati del database GeoIP associati ai paesi. indirizzi IP.
Il codice paese dal database GeoIP veniva inserito senza verifica durante la formazione del nome file, consentendo di sovrascrivere qualsiasi file nel sistema, poiché il gestore viene eseguito con diritti di root. Tramite l'API Web, un utente privo di privilegi poteva specificare il proprio URL per caricare un database GeoIP modificato per alias. Per acquisire diritti di root, in una delle righe del database al posto del codice paese si può specificare «../../../../../../../../etc/newsyslog.conf.d/zzz_pwn», il che porterà alla creazione di un file di configurazione per il sistema di rotazione dei log, in cui possono essere definite comandi eseguiti con diritti di root.
Fonte: opennet.ru
