Bola zverejnená verzia distribúcie na tvorbu firewallov OPNsense 26.7, ktorá sa v roku 2015 oddelila od projektu pfSense s cieľom vyvinúť úplne otvorenú distribúciu, ktorá by mohla mať funkčnosť na úrovni komerčných riešení pre nasadzovanie firewallov a sieťových brán. Na rozdiel od pfSense sa projekt profiluje ako nezávislý od jednej spoločnosti, rozvíjaný priamo so zapojením komunity a disponujúci úplne transparentným procesom vývoja, ako aj poskytujúci možnosť využitia svojich výstupov v cudzích produktoch, vrátane komerčných. Zdrojové kódy komponentov distribúcie, ako aj nástroje používané na zostavovanie, sa šíria pod licenciou BSD. Zostavy sú pripravené vo forme LiveCD a systémového obrazu na zápis na Flash pamäte (490 MB).
Výplň distribúcie je založená na kóde FreeBSD. Medzi možnosťami OPNsense: úplne otvorený nástroj na zostavovanie, podpora inštalácie vo forme balíkov nad bežným FreeBSD, prostriedky na vyvažovanie záťaže, webové rozhranie na organizáciu pripojenia používateľov do siete (Captive portal), existujú mechanizmy sledovania stavov spojení (stateful firewall na základe pf), systém obmedzovania priepustnosti, filtrovanie prevádzky, vytváranie VPN na základe IPsec, OpenVPN a PPTP, integrácia s LDAP a RADIUS, podpora DDNS (Dynamický DNS), systém prehľadných správ a grafov.
Na základe distribúcie môžu byť vytvorené odolné konfigurácie, založené na použití protokolu CARP, ktoré umožňujú spustiť okrem hlavného firewallu záložný uzol, ktorý bude automaticky synchronizovaný na úrovni konfigurácie a prevezme záťaž v prípade poruchy primárneho uzla. Pre administrátora je k dispozícii webové rozhranie na konfiguráciu firewallu, postavené s použitím webového rámca Bootstrap a Phalcon MVC.
Medzi zmenami:
- Došlo k prechodu na kódovú základňu FreeBSD 15.1 (predtým sa používalo FreeBSD 14.3).
- Rozhrania na nastavenie pravidiel firewallov, prideľovanie sieťových rozhraní (rozdelenie medzi LAN a WAN) a správa skupín brán prešli na používanie rámca MVC a sú teraz dodatočne dostupné prostredníctvom Web API na automatizáciu správy sieťovej konfigurácie.
- Pridaný je sprievodca migráciou pravidiel pre adresy z formátu Outbound NAT na nový formát, ktorý využíva architektúru Source NAT (SNAT).
- Do konfigurátora KEA DHCP bola pridaná podpora DDNS (Dynamický) a automatického prideľovania IPv6 prefixov (blokov adries).
- Do Captive portálu bola pridaná podpora IPv6.
- Aktualizované verzie OpenVPN 2.7, PHP 8.5, Python 3.13.
- Bola odstránená kritická zraniteľnosť (CVE-2026-57155, úroveň nebezpečenstva 9.9 z 10), ktorá umožňovala nepriviligovanému používateľovi bez prístupu k shellu a s obmedzeným prácou s aliasmi (zoznamy s názvami sietí a hostiteľov) spustiť kód s právami roota. Zraniteľnosť vznikla z nedostatočných kontrol pri spracovaní údajov z databázy GeoIP s priradením krajín k. IP adresy.
Kód krajiny z databázy GeoIP bol bez kontroly vkladaný pri tvorbe názvu súboru, čo umožnilo prepísať akýkoľvek súbor v systéme, pretože spracovateľ sa spúšťa s právami roota. Prostredníctvom Web API mohol nepriviligovaný používateľ zadať svoj URL pre načítanie modifikovanej databázy GeoIP pre aliasy. Pre získanie práv roota v jednom zázname v databáze môže namiesto kódu krajiny zadať „..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn“, čo povedie k vytvoreniu konfiguračného súboru pre systémy rotácie protokolov, v ktorom môžu byť definované príkazy spúšťané s právami roota.
Zdroj: opennet.ru
