OPNsense 23.7.8 Security und Bugfix und 23.7.8_1 Hotfix Release

Die Community Edition der Open-Source Firewall OPNsense, erhielt das Update 23.7.8, dass Fehler behebt und Sicherheitslücken schließt. Inzwischen gibt es auch ein Hotfix das zwei Fehler im Update behebt.

Das OPNsense Update verbessert in einigen Punkten die GUI für das Restore der Konfiguration. Der Webproxy Squid wurde aktualisiert und liegt nun in Version 6 vor. Weiterhin wurden Verbesserungen des WireGuard Kernel Plugin durchgeführt, sodass es für die Integration in den Core bereit steht. Die Dokumentation wird nach und nach aktualisiert.

Mit diesem Update werden auch FreeBSD Security Updates durchgeführt. Hier zu erwähnen das OpenSSL 1.1.1 CVE-2023-5678. Es werden zudem tests mit OpenSSL 3, welches ab OPNsense Version 24.1 kommen soll, durchgeführt.

OPNsense 23.7.8 Release Notes

• system: minor changes related to recent Gateway class refactoring
• system: use unified style for “return preg_match” idiom so the caller receives a boolean
• system: provide mismatching interface logic without reboot on configuration restore
• system: allow new backup API to download latest configuration directly via /api/core/backup/download/this
• system: extend restore to be able to migrate older configurations cleanly
• system: make trust store reload conditional
• interfaces: assorted bridge handling improvements
• interfaces: ignore ULAs for primary IPv6 detection
• interfaces: improve wireless channel parsing
• firewall: keep filtered items available longer in live log
• firewall: when migrating aliases make sure that nesting does not fail
• firewall: port can be zero in automatic rule so render it accordingly
• firewall: minor update to shaper model
• firmware: invalidate GUI caches earlier since certctl blocks this longer now
• firmware: add root file system to health audit
• monit: minor update to model
• lang: update Chinese, Czech, Italian, Korean, Polish and Spanish
• openvpn: host bits must not be set for IPv4 server directive in instances
• unbound: minor update to model
• unbound: remove localhost from automatically created ACL
• web proxy: handle the major update to version 6 and update model
• mvc: enforce uniqueness and remove validation message in UnqiueIdField
• mvc: config should be locked before calling checkAndThrowSafeDelete()
• ui: prevent form submit for MVC pages
• ui: improve default modal padding
• plugins: os-bind 1.28[1]
• plugins: os-openconnect 1.4.5[2]
• plugins: os-wireguard 2.5[3]
• src: pfctl: fix incorrect mask on dynamic address
• src: libpfctl: assorted improvements
• src: msdosfs: zero partially valid extended cluster[4]
• src: copy_file_range: require CAP_SEEK capability[5]
• src: fflush: correct buffer handling in __sflush[6]
• src: cap_net: correct capability name from addr2name to name2addr[7]
• src: regcomp: use unsigned char when testing for escapes[8]
• ports: lighttpd 1.4.73[9]
• ports: php 8.2.12[10]
• ports: squid 6.5[11]
• ports: sudo 1.9.15[12]

OPNsense Hotfix 23.7.8_1 Release Notes

• interfaces: prefer GUAs over ULAs when returning addresses
• plugins: os-c-icap fix for upstream update syntax error (contributed by Andy Binder)