სადისტრიბუციო ნაკრების გამოშვება OPNsense 26.7 firewalls-ის შესაქმნელად

გამოქვეყნდა სადისტრიბუციო ნაკრების გამოშვება firewalls OPNsense 26.7, რომელიც 2015 წელს გამოეყო pfSense პროექტს, რათა შეემუშავებინა სრულიად ღია სადისტრიბუციო ნაკრები, რომელსაც შეეძლო ჰქონდეს ფუნქციონირება კომერციული გადაწყვეტილებების დონეზე firewalls და ქსელის კარიბჭეების განლაგებისთვის. pfSense-ისგან განსხვავებით, პროექტი პოზიციონირებულია, როგორც ერთი კომპანიის მიერ არ კონტროლდება, შემუშავებულია საზოგადოების უშუალო მონაწილეობით და აქვს სრულიად გამჭვირვალე განვითარების პროცესი, ასევე იძლევა შესაძლებლობას გამოიყენოს მისი ნებისმიერი განვითარება მესამე მხარის პროდუქტებში, მათ შორის კომერციულ პროდუქტებში. პირობა. სადისტრიბუციო კომპონენტების წყაროს კოდი, ისევე როგორც ასამბლეისთვის გამოყენებული ხელსაწყოები, ნაწილდება BSD ლიცენზიით. ასამბლეები მომზადებულია LiveCD-ის და სისტემის გამოსახულების სახით ფლეშ დისკებზე ჩასაწერად (490 მბ).

Начинка дистрибутива основывается на коде FreeBSD. Среди возможностей OPNsense: полностью открытый сборочный инструментарий, поддержка установки в форме пакетов поверх обычного FreeBSD, средства балансировки нагрузки, web-интерфейс для организации подключения пользователей к сети (Captive portal), наличие механизмов отслеживания состояний соединений (stateful firewall на основе pf), система ограничения пропускной способности, фильтрация трафика, создание VPN на базе IPsec, OpenVPN და PPTP, LDAP-თან და RADIUS-თან ინტეგრაცია, DDNS (დინამიური DNS) მხარდაჭერა, ვიზუალური ანგარიშებისა და გრაფიკების სისტემა.

განაწილებიდან გამომდინარე, შეცდომის ტოლერანტული კონფიგურაციები შეიძლება შეიქმნას CARP პროტოკოლის გამოყენების საფუძველზე და საშუალებას მოგცემთ გაუშვათ, გარდა ძირითადი ფაირვოლისგან, სარეზერვო კვანძი, რომელიც ავტომატურად სინქრონიზდება კონფიგურაციის დონეზე და აიღებს დატვირთვა პირველადი კვანძის გაუმართაობის შემთხვევაში. ადმინისტრატორს სთავაზობენ ვებ ინტერფეისს firewall-ის კონფიგურაციისთვის, რომელიც აგებულია Bootstrap ვებ ჩარჩოსა და Phalcon MVC-ის გამოყენებით.

ცვლილებებს შორის:

• Осуществлён переход на кодовую базу FreeBSD 15.1 (ранее использовался FreeBSD 14.3).
• Интерфейсы для настройки правил межсетевых экранов, назначения сетевых интерфейсов (разделение между LAN и WAN) и управления группами шлюзов переведены на использование MVC-фреймворка и теперь дополнительно доступны через Web API для автоматизации управления сетевой конфигурацией.
• Добавлен мастер для миграции правил трансляции адресов со старого формата конфигурации Outbound NAT на новый формат, использующий архитектуру Source NAT (SNAT).
• В конфигуратор KEA DHCP добавлена поддержка DDNS (Dynamic) и автоматического выделения префиксов IPv6 (блоков адресов).
• В Captive portal добавлена поддержка IPv6.
• განახლებული ვერსიები OpenVPN 2.7, PHP 8.5, Python 3.13.
• Устранена критическая уязвимость (CVE-2026-57155, уровень опасности 9.9 из 10), позволяющая непривилегированному пользователю без доступа к shell и ограниченному работой с алиасами (списки с именами сетей и хостов), выполнить код с правами root. Уязвимость вызвана отсутствием должных проверок при обработке данных из БД GeoIP c привязкой стран к IP-адресам.

  Код страны из БД GeoIP без проверки подставлялся при формировании записываемого имени файла, что позволяло перезаписать любой файл в системе, так как обработчик запускается с правами root. Через Web API непривилегированный пользователь мог указать свой URL для загрузки модифицированной БД GeoIP для алиасов. Для получения прав root в одной из записей в БД вместо кода страны можно указать «../../../../../../../../etc/newsyslog.conf.d/zzz_pwn», что приведёт к созданию файла конфигурации для системы ротации логов, в котором могут быть определены команды, запускаемые с правами root.

წყარო: opennet.ru