Foi lançado o release da distribuição para criação de firewalls OPNsense 26.7, que em 2015 se separou do projeto pfSense com o objetivo de desenvolver uma distribuição totalmente aberta, que pudesse ter funcionalidades em nível de soluções comerciais para a implantação de firewalls e gateways de rede. Ao contrário do pfSense, o projeto é posicionado como não controlado por uma única empresa, desenvolvido com a participação direta da comunidade e com um processo de desenvolvimento totalmente transparente, além de oferecer a possibilidade de usar qualquer um de seus desenvolvimentos em produtos de terceiros, incluindo comerciais. Os códigos-fonte dos componentes da distribuição, assim como as ferramentas utilizadas para a compilação, são distribuídos sob a licença BSD. As compilações estão disponíveis na forma de LiveCD e imagem do sistema para gravação em dispositivos Flash (490 MB).
A base da distribuição é fundamentada no código do FreeBSD. Entre as funcionalidades do OPNsense: conjunto de ferramentas de compilação totalmente aberto, suporte à instalação na forma de pacotes sobre o FreeBSD normal, ferramentas de balanceamento de carga, interface web para organização de conexão de usuários à rede (Captive portal), presença de mecanismos de rastreamento de estados de conexão (firewall stateful baseado em pf), sistema de limitação de largura de banda, filtragem de tráfego, criação VPN baseada em IPsec, OpenVPN e PPTP, integração com LDAP e RADIUS, suporte a DDNS (DNS Dinâmico), sistema de relatórios e gráficos visualmente claros.
Com base na distribuição, podem ser criadas configurações de alta disponibilidade, baseadas no uso do protocolo CARP, permitindo iniciar, além do firewall principal, um nó de reserva que será automaticamente sincronizado no nível de configuração e assumirá a carga em caso de falha do nó primário. Para o administrador, é oferecida uma interface web para configurar o firewall, construída utilizando o framework web Bootstrap e o Phalcon MVC.
Entre as alterações:
- Foi realizado a transição para a base de código do FreeBSD 15.1 (anteriormente era utilizado o FreeBSD 14.3).
- As interfaces para configuração de regras de firewalls, atribuição de interfaces de rede (separação entre LAN e WAN) e gerenciamento de grupos de gateways foram convertidas para usar o framework MVC e agora estão também disponíveis via Web API para automação da gestão da configuração de rede.
- Adicionado um assistente para migração de regras de tradução de endereços do antigo formato de configuração Outbound NAT para o novo formato, que utiliza a arquitetura Source NAT (SNAT).
- Foi adicionada ao configurador KEA DHCP suporte a DDNS (Dinâmico) e alocação automática de prefixos IPv6 (blocos de endereços).
- O Captive portal agora inclui suporte a IPv6.
- As versões do OpenVPN 2.7, PHP 8.5, Python 3.13 foram atualizadas.
- Foi corrigida uma vulnerabilidade crítica (CVE-2026-57155, nível de severidade 9.9 de 10) que permitia que um usuário não privilegiado, sem acesso ao shell e com trabalho limitado com aliases (listas de nomes de redes e hosts), executasse código com privilégios de root. A vulnerabilidade foi causada pela falta de verificações adequadas ao processar dados do banco de dados GeoIP com a vinculação de países a endereços IP.
O código do país do banco de dados GeoIP era inserido sem verificação ao formar o nome do arquivo gravado, permitindo que qualquer arquivo no sistema fosse sobrescrito, visto que o manipulador é executado com privilégios de root. Através da API Web, um usuário não privilegiado poderia especificar sua URL para carregar um banco de dados GeoIP modificado para aliases. Para obter privilégios de root, em um dos registros no banco de dados, em vez do código do país, pode-se especificar «..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn», o que resultaria na criação de um arquivo de configuração para o sistema de rotação de logs, onde comandos executados com privilégios de root poderiam ser definidos.
Fonte: opennet.ru
