שחרור ערכת הפצה ליצירת חומות אש OPNsense 26.7

הפצת חומת האש של OPNsense 26.7 שוחררה מפרויקט pfSense ב-2015 במטרה לפתח הפצת קוד פתוח לחלוטין שיכולה לקבל את הפונקציונליות של פתרונות חומת אש ושער מסחריים. בניגוד ל-pfSense, הפרויקט ממוקם כלא נשלט על ידי חברה אחת, פותח בשיתוף ישיר של הקהילה ובעל תהליך פיתוח שקוף לחלוטין, כמו גם מתן הזדמנות להשתמש בכל אחד מהפיתוחים שלו במוצרי צד שלישי, כולל מסחריים. קוד המקור של רכיבי ההפצה, כמו גם הכלים המשמשים להרכבה, מופצים תחת רישיון BSD. ההרכבות מוכנות בצורה של LiveCD ותמונת מערכת להקלטה על כונני פלאש (490 מגה).

ליבת ההפצה מבוססת על קוד FreeBSD. תכונות OPNsense כוללות: כלי בנייה בקוד פתוח לחלוטין, תמיכה בהתקנה כחבילות על גבי FreeBSD רגיל, כלי איזון עומסים, ממשק אינטרנט לארגון חיבורי משתמשים לרשת (Captive portal), מנגנוני מעקב אחר מצב חיבור (חומת אש מבוססת מצב מבוססת pf), מערכת הגבלת רוחב פס, סינון תעבורה ויצירה. VPN מבוסס על IPsec, OpenVPN ו-PPTP, אינטגרציה עם LDAP ו-RADIUS, תמיכה ב-DDNS (DNS דינמי), מערכת של דוחות ויזואליים וגרפים.

על בסיס ההפצה ניתן ליצור תצורות עמידות תקלות המבוססות על שימוש בפרוטוקול CARP ומאפשרות להפעיל, בנוסף לחומת האש הראשית, צומת גיבוי, שיסונכרן אוטומטית ברמת התצורה ו ישתלט על העומס במקרה של כשל של הצומת הראשי. למנהל המערכת מוצע ממשק אינטרנט להגדרת חומת האש, שנבנה באמצעות מסגרת האינטרנט Bootstrap ו-Phalcon MVC.

בין השינויים:

• המעבר לבסיס הקוד FreeBSD 15.1 הושלם (בעבר נעשה שימוש ב-FreeBSD 14.3).
• ממשקים להגדרת כללי חומת אש, הקצאת ממשקי רשת (הפרדה בין LAN ל-WAN) וניהול קבוצות שערים הועברו לשימוש במסגרת MVC וכעת נגישים אליהם בנוסף דרך ממשק ה-Web API לאוטומציה של ניהול תצורת הרשת.
• נוסף אשף להעברת כללי תרגום כתובות מתבנית התצורה הישנה של NAT יוצא לתבנית החדשה באמצעות ארכיטקטורת Source NAT ‏(SNAT).
• תמיכה ב-DDNS (דינמי) ובהקצאה אוטומטית של קידומות IPv6 (בלוקי כתובות) נוספה למגדיר DHCP של KEA.
• תמיכה ב-IPv6 נוספה לפורטל Captive.
• גרסאות מעודכנות OpenVPN 2.7, PHP 8.5, פייתון 3.13.
• פגיעות קריטית (CVE-2026-57155, רמת חומרה 9.9 מתוך 10) תוקנה. פגיעות זו מאפשרת למשתמש לא מורשה, ללא גישת מעטפת וגישה מוגבלת לכינויים (רשימות של שמות רשת ומארחים) לבצע קוד עם הרשאות root. הפגיעות נגרמת עקב חוסר בבדיקות נאותות בעת עיבוד נתונים ממסד הנתונים GeoIP עם קישורי מדינה. כתובות IP.

  קוד המדינה ממסד הנתונים GeoIP הוחלף ללא אימות בעת יצירת שם הקובץ הנכתב, מה שאפשר להחליף כל קובץ במערכת, מכיוון שהמטפל פועל עם הרשאות root. משתמש ללא הרשאות יכול להשתמש בממשק ה-Web API כדי לציין כתובת URL להורדת מסד נתונים של GeoIP שעבר שינוי עבור כינויים. כדי לקבל הרשאות root, ניתן לציין "../../../../../../../etc/newsyslog.conf.d/zzz_pwn" במקום קוד המדינה באחד מערכי מסד הנתונים. פעולה זו תיצור קובץ תצורה עבור מערכת סיבוב הלוגים, שיכול להגדיר פקודות הפועלות עם הרשאות root.

מקור: OpenNet.ru