Utgivning av distributionspaketet för att skapa brandväggar OPNsense 26.7

Release av distributionspaketet för att skapa brandväggar OPNsense 26.7 har publicerats. Detta projekt separerade sig från pfSense 2015 för att utveckla en helt öppen distribution, som kan ha funktioner i nivå med kommersiella lösningar för implementering av brandväggar och nätverksgatewayar. Till skillnad från pfSense positioneras projektet som oberoende av ett annat företag, utvecklat med direkt deltagande av samhället och har en helt transparent utvecklingsprocess, samt möjligheten att använda sina egna arbeten i andra produkter, inklusive kommersiella. Källkoderna för komponenterna i distributionen och verktygen för att skapa dem sprids under BSD-licensen. Byggnaderna är tillgängliga som LiveCD och systemavbildningar för skrivning till flash-enheter (490 MB).

Innehållet i distributionen baseras på FreeBSD-koden. Bland OPNsense-funktionerna finns: helt öppen byggverktygslåda, stöd för installation i form av paket ovanpå vanligt FreeBSD, belastningsbalanseringsverktyg, web-gränssnitt för att organisera användaranslutning till nätverket (Captive portal), mekanismer för att spåra anslutningstillstånd (stateful firewall baserat på pf), system för begränsning av bandbredd, trafikfiltrering, skapande VPN baserat på IPsec, OpenVPN och PPTP, integration med LDAP och RADIUS, stöd för DDNS (Dynamic DNS), ett system för visuell rapportering och diagram.

Baserat på distributionen kan redundanta konfigurationer skapas, baserade på CARP-protokollet, som gör det möjligt att starta en reservnod som automatiskt synkroniseras på konfigurationsnivå och tar över belastningen vid ett fel på huvudnoden. En web-gränssnitt för att konfigurera brandväggen erbjuds till administratören, byggt med hjälp av web-ramverket Bootstrap och Phalcon MVC.

Bland ändringarna:

• Övergången har genomförts till kodbasen FreeBSD 15.1 (tidigare användes FreeBSD 14.3).
• Gränssnitten för att konfigurera brandväggsregler, tilldela nätverksgränssnitt (separering mellan LAN och WAN) och hantera grupper av gatewayar har omvandlats för att använda MVC-ramverket och är nu även tillgängliga via Web API för automatisering av hantering av nätverkskonfigurationen.
• En guide för migrering av adresstranslationsregler från det gamla konfigurationsformatet Outbound NAT till det nya formatet, som använder arkitekturen Source NAT (SNAT), har lagts till.
• Konfiguratorn för KEA DHCP har fått stöd för DDNS (Dynamic) och automatisk tilldelning av IPv6-prefix (adressblock).
• Captive portal har fått stöd för IPv6.
• Versionsuppdateringar för OpenVPN 2.7, PHP 8.5, Python 3.13 har gjorts.
• En kritisk sårbarhet har åtgärdats (CVE-2026-57155, risknivå 9.9 av 10), vilket tillåter en icke-privilegierad användare utan shell-tillgång och begränsad arbete med alias (listor med nätverks- och värdnamn) att utföra kod med root-rettigheter. Sårbarheten orsakas av bristen på nödvändig kontroll vid hantering av data från GeoIP-databasen kopplad till länder. IP-adresser.

  Landkoden från GeoIP-databasen tillämpades utan kontroll vid skapandet av det skrivna filnamnet, vilket gjorde att vilken fil som helst i systemet kunde skrivas över, eftersom hanteraren körs med root-rettigheter. Genom Web API kunde en icke-privilegierad användare ange sin egen URL för att ladda upp en modifierad GeoIP-databas för alias. För att få root-rettigheter kunde man i en av posterna i databasen istället för landskoden ange "..\/..\/..\/..\/..\/..\/..\/..\/etc\/newsyslog.conf.d\/zzz_pwn", vilket skulle leda till skapandet av en konfigurationsfil för systemet för loggrotation, där kommandon som körs med root-rettigheter kan definieras.

Källa: opennet.ru