Frigivning av ett distributionspaket för att skapa OPNsense 26.7-brandväggar

OPNsense 26.7-brandväggsdistributionen har släppts från pfSense-projektet 2015 med målet att utveckla en helt öppen källkodsdistribution som kan ha samma funktionalitet som kommersiella brandväggs- och gatewaylösningar. Till skillnad från pfSense är projektet positionerat som att det inte kontrolleras av ett enda företag, utvecklat med direkt deltagande av gemenskapen och med en helt transparent utvecklingsprocess, samt ger möjlighet att använda någon av dess utvecklingar i tredjepartsprodukter, inklusive kommersiella sådana. Källkoden för distributionskomponenterna, såväl som verktygen som används för montering, distribueras under BSD-licensen. Sammansättningarna är förberedda i form av LiveCD och en systembild för inspelning på Flash-enheter (490 MB).

Distributionens kärna är baserad på FreeBSD-kod. OPNsense-funktioner inkluderar: en helt öppen källkodsverktygskedja, stöd för installation som paket ovanpå vanlig FreeBSD, lastbalanseringsverktyg, ett webbgränssnitt för att organisera användaranslutningar till nätverket (Captive Portal), spårningsmekanismer för anslutningstillstånd (tillståndsbaserad brandvägg baserad på pf), ett bandbreddsbegränsningssystem, trafikfiltrering och skapande. VPN baserat på IPsec, OpenVPN och PPTP, integration med LDAP och RADIUS, stöd för DDNS (Dynamic DNS), ett system med visuella rapporter och grafer.

På basis av distributionen är det möjligt att skapa feltoleranta konfigurationer baserade på användningen av CARP-protokollet och tillåter att, förutom huvudbrandväggen, starta en backup-nod, som automatiskt synkroniseras på konfigurationsnivå och kommer att ta över belastningen i händelse av ett fel på den primära noden. Administratören erbjuds ett webbgränssnitt för att konfigurera brandväggen, byggt med hjälp av Bootstrap webbramverk och Phalcon MVC.

Bland ändringarna:

• Övergången till FreeBSD 15.1-kodbasen har slutförts (tidigare användes FreeBSD 14.3).
• Gränssnitt för att konfigurera brandväggsregler, tilldela nätverksgränssnitt (separera mellan LAN och WAN) och hantera gatewaygrupper har migrerats för att använda MVC-ramverket och är nu dessutom tillgängliga via webb-API:et för att automatisera hantering av nätverkskonfiguration.
• Lade till en guide för att migrera adressöversättningsregler från det gamla konfigurationsformatet för utgående NAT till det nya formatet med hjälp av SNAT-arkitekturen (Source NAT).
• Stöd för DDNS (dynamisk) och automatisk tilldelning av IPv6-prefix (adressblock) har lagts till i KEA DHCP-konfiguratorn.
• IPv6-stöd har lagts till i Captive-portalen.
• Uppdaterade versioner OpenVPN 2.7, PHP 8.5, Python 3.13.
• En kritisk sårbarhet (CVE-2026-57155, allvarlighetsgrad 9.9 av 10) har åtgärdats. Denna sårbarhet gör det möjligt för en oprivilegierad användare utan shell-åtkomst och begränsad åtkomst till alias (listor över nätverks- och värdnamn) att exekvera kod med root-behörighet. Sårbarheten orsakas av brist på korrekta kontroller vid bearbetning av data från GeoIP-databasen med landsbindningar. IP-adresser.

  Landskoden från GeoIP-databasen ersattes utan verifiering när filnamnet som skrivs genererades, vilket gjorde att vilken fil som helst i systemet kunde skrivas över, eftersom hanteraren körs med rotbehörighet. En oprivilegierad användare skulle kunna använda webb-API:et för att ange en URL för att ladda ner en modifierad GeoIP-databas för alias. För att få rotbehörigheter skulle man kunna ange "../../../../../../../etc/newsyslog.conf.d/zzz_pwn" istället för landskoden i en av databasposterna. Detta skulle skapa en konfigurationsfil för loggrotationssystemet, som skulle kunna definiera kommandon som körs med rotbehörighet.

Källa: opennet.ru