OPNsense 26.7.8 공개, 보안 수정 다수 반영
오픈소스 방화벽 OPNsense가 10월 30일 커뮤니티 에디션 26.7.8을 공개했습니다. 핵심 구성요소와 서드파티 포트의 보안 수정을 모아 올린 점검성 릴리스입니다. FreeBSD 기반 커널 쪽 수정이 눈에 띄는데, tcp_rack의 원격 트리거 가능한 버퍼 오버플로와 TCP 타이머 오버플로, bhyve 디바이스 모델 취약점, 사운드 드라이버의 TOCTOU 경쟁 조건 등이 들어갔습니다. 방화벽처럼 외부에 노출되는 장비라면 미루지 말고 올리는 게 좋아 보입니다.
동봉된 포트 버전도 꽤 올라갔습니다. OpenSSH 10.6p1, OpenVPN 2.7.8, curl 8.23.0, Suricata 8.0.8, Unbound 1.26.2, Python 3.13.16 등이 반영됐습니다. curl은 얼마 전 보안 수정분이 포함된 8.23.0이고, Suricata와 Unbound도 최신 패치 라인으로 맞춰졌습니다.
업그레이드 전에 두 가지는 미리 확인해 두길 권합니다. OpenSSH 10.6은 10.5에서 만든 ML-DSA 키를 거부하므로, 포스트퀀텀 키를 쓰던 환경이라면 한 번 삭제하고 다시 생성해야 합니다. 또 StrongSwan의 IKEv1 지원 종료 경고가 이번 버전에서 훨씬 눈에 띄게 바뀌었습니다. 아직 IKEv1 터널을 쓰고 있다면 중기적으로 IKEv2로 옮길 준비를 해두는 편이 낫겠습니다.
인증서 처리 쪽도 손봤습니다. 설정 주입 위험 때문에 인증서 저장을 항목당 하나로 제한했고, 인증서 생성 시 OCSP URI 오류도 고쳤습니다. 다만 이 변경이 인증서와 CA를 가져올 때 개인키를 잘못 요구하는 회귀를 만들어, 다음 날인 10월 31일 26.7.8_2 핫픽스가 올라왔습니다. 같은 핫픽스에서 단일 동적 인터페이스 게이트웨이 관련 변경도 되돌렸으니, 올릴 거라면 26.7.8_2로 바로 맞추는 게 안전합니다.
🔗 https://github.com/opnsense/changelog/blob/master/community/26.7/26.7.8
로그인 후 답글을 남길 수 있습니다.