Opublikowano wydanie dystrybucji do tworzenia zapór sieciowych OPNsense 26.7, która w 2015 roku oddzieliła się od projektu pfSense w celu opracowania w pełni otwartej dystrybucji, która mogłaby oferować funkcjonalność na poziomie komercyjnych rozwiązań do wdrażania zapór sieciowych i bram sieciowych. W przeciwieństwie do pfSense projekt jest pozycjonowany jako niezależny od jednej firmy, rozwijany przy bezpośrednim udziale społeczności i posiadający w pełni przejrzysty proces rozwoju oraz dający możliwość wykorzystania wszelkich swoich osiągnięć w produktach zewnętrznych, w tym komercyjnych. Źródłowe teksty komponentów dystrybucji, a także używane do budowy narzędzia, są rozpowszechniane na licencji BSD. Kompilacje są przygotowane w postaci LiveCD oraz obrazu systemu do nagrywania na pamięci Flash (490 MB).
Podstawą dystrybucji jest kod FreeBSD. Wśród możliwości OPNsense: całkowicie otwarte narzędzie do budowy, wsparcie dla instalacji w formie pakietów na standardowym FreeBSD, środki równoważenia obciążenia, interfejs webowy do organizowania połączeń użytkowników z siecią (Captive portal), mechanizmy śledzenia stanów połączeń (stateful firewall oparty na pf), system ograniczania przepustowości, filtrowanie ruchu, tworzenie VPN na bazie IPsec, OpenVPN i PPTP, integracja z LDAP i RADIUS, wsparcie DDNS (Dynamic DNS), system przejrzystych raportów i wykresów.
Na bazie dystrybucji można tworzyć konfiguracje odporne na awarie, oparte na użyciu protokołu CARP, pozwalające na uruchomienie obok głównej zapory zapasowego węzła, który będzie automatycznie synchronizowany na poziomie konfiguracji i przejmie obciążenie w przypadku awarii węzła głównego. Dla administratora dostępny jest interfejs webowy do konfiguracji zapory, zbudowany przy użyciu frameworka webowego Bootstrap i Phalcon MVC.
Wśród zmian:
- Zrealizowano przejście na bazę kodową FreeBSD 15.1 (wcześniej używano FreeBSD 14.3).
- Interfejsy do konfigurowania reguł zapór sieciowych, przypisywania interfejsów sieciowych (podział między LAN a WAN) oraz zarządzania grupami bram zostały przetłumaczone na użycie frameworka MVC i są teraz dodatkowo dostępne przez Web API do automatyzacji zarządzania konfiguracją sieci.
- Dodano kreatora do migracji reguł translacji adresów ze starego formatu konfiguracji Outbound NAT na nowy format, który korzysta z architektury Source NAT (SNAT).
- Do konfiguratora KEA DHCP dodano wsparcie dla DDNS (Dynamic) oraz automatycznego przydzielania prefiksów IPv6 (bloków adresów).
- W Captive portal dodano wsparcie dla IPv6.
- Zaktualizowano wersje OpenVPN 2.7, PHP 8.5, Python 3.13.
- Usunięto krytyczną lukę (CVE-2026-57155, poziom zagrożenia 9.9 z 10), która umożliwiała nieuprzywilejowanemu użytkownikowi bez dostępu do shell i z ograniczonym działaniem z aliasami (listy z nazwami sieci i hostów) wykonanie kodu z uprawnieniami root. Luka ta była spowodowana brakiem odpowiednich kontroli podczas przetwarzania danych z bazy GeoIP z powiązaniem krajów. adresów IP.
Kod kraju z bazy danych GeoIP był używany podczas tworzenia zapisywanego nazwy pliku bez weryfikacji, co umożliwiało nadpisanie dowolnego pliku w systemie, ponieważ proces jest uruchamiany z prawami root. Przez Web API nieuprzywilejowany użytkownik mógł określić własny URL do załadowania zmodyfikowanej bazy danych GeoIP dla aliasów. Aby uzyskać prawa root, w jednym z rekordów w bazie danych zamiast kodu kraju można wpisać „..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn”, co prowadzi do utworzenia pliku konfiguracyjnego dla systemu rotacji logów, w którym można zdefiniować polecenia uruchamiane z prawami root.
Źródło: opennet.ru
