IPFire 2.27 - Core Update 160 disponibile per il test

Rilasciato Martedì l'aggiornamento di IPFire 2.7 Core Update 160 per i test.

Con questa versione continua il percorso di rimozione di Python 2 con l'aggiornamento di diversi pacchetti e la correzioni di numerosi bug.

Tutti i grafici sono renderizzati in formato SVG per migliorare la velocità di ridimensionamento delle finestre del browser:

Nel motore del firewall è stato aggiunto il supporto per il reindirizzamento dei servizi, ovvero la possibilità di reindirizzare il traffico ricevuto su una determinata porta verso un’altra porta a scelta e la correzione del Bug 12265 un bug di vecchia data che permetteva di creare delle regole di iptable nella catena sbagliata.

Il visualizzatore del registro del firewall ora mostra i nomi dei protocolli IP invece dei numeri:

La novità più importante di questa release riguarda il lavoro di sviluppo incentrato sulla ricerca e rimozione dei colli di bottiglia. L'obbiettivo è quello di aumentare il throughput sull'hardware e ridurre la latenza, per ottenere prestazioni di rete migliori.

Diversi pacchetti sono stati aggiornati tra cui:

• glibc (GNU C Library), patchato per il CVE-2021-33574 ritenuto un bug critico con un punteggio di 9.8.
• openssl 1.1.1k, per il CVE-2021-3712 e il CVE-2021-3711, entrambe le vulnerabilità sono critiche (CVE-2021-3712 Base Score: 7.4 HIGH e CVE-2021-3711 Base Score: 9.8 CRITICAL)

Per la lista degli aggiornamenti completi potete visitare il post ufficiale al seguente link IPFire.

IPFire 2.27 - Rilasciato l'aggiornamento Core 159 con nuovo Kernel basato su Linux 5.10

Abbiamo visto nella preview di test le caratteristiche più salienti di questa nuova release, tra queste quella più importante sicuramente l'introduzione al nuovo kernel e la toolchain aggiornata.

Oltre a questo sono state apportate correzioni di bug e un gran numero di miglioramenti.

Il consiglio è di aggiornare il prima possibile!!!

Per tutte le news e articoli su IPFire visitate il sito di IPFire Italia https://www.ipfireitalia.it/

Nuovo aggiornamento disponibile per i test: IPFire 2.27 - Core Update 159

La novità più importante è sicuramente rappresentata dall'adozione del kernel Linux 5.10, l'ultima disponibile LTS (Long Term Support, con supporto a lunga scadenza) al momento. 

Le caratteristiche più salienti sono:

- Introduzione di nuovi driver che rendono più compatibile e prestante IPFire con l'hardware di nuova generazione.

- Miglioramento delle prestazioni di rete a livello di gestione dei pacchetti TCP/UDP (Livello di Trasporto) e per quanto riguarda lo stack WI-FI la gestione delle code di trasmissione.

- Supporto migliorato per l'hardware ARM a 64 bit (ARM Memory Tagging Extension e DeviceTree per dispositivi ARM Librem 5). L'architettura ARM a 32 bit è stata modificata da armv5tel a armv6l.

- Aggiornamenti driver DRM VC4 che abilita il supporto del display per Raspberry Pi 4.

- Avvio dei sistemi RISC-V con firmware EFI, grazie alla possibilità di eseguire kernel compresso zstd su architetture MIPS.

Non poteva mancare visto l'adozione del nuovo kernel l'aggiornamento della toolchain che comprende la raccolta di compilatori e linker, la libreria standard C e gli strumenti di base necessari per creare e gestire il nuovo kernel (GCC 11.1, glibc 2.33, binutils 2.36.1)

L'installazione è possibile eseguirla sempre tramite Pakfire, abilitando il repository del ramo "Testing".

Dopo l'aggiornamento che dura pochissimo, il sistema chiederà il riavvio della macchina come step necessario per questo tipo di update:

Finito il riavvio il sistema è pronto per essere utilizzato con il nostro IPFire 2.27 - Core Update 159 test e kernel 5.10.

Maggiori dettagli è possibile trovarli sul post originale.

IPFire 2.25 - Rilasciato l'aggiornamento Core 158

Rilasciato l'aggiornamento Core 158 per IPFire 2.25

Come abbiamo visto sull'annuncio della versione di test, l'aggiornamento per IPFire 2.25 Core 158, porta con se novità riguardanti IPsec, Proxy web e l'aggiornamento di molti pacchetti di sistema.

Il consiglio è quello di aggiornare il prima possibile i nostri firewall visto la vulnerabilità che viene risolta con questa versione (CVE-2021-33393).

Il Common Vulnerabilities and Explosures o CVE, è un dizionario che raggruppa tutte le vulnerabilità note pubblicamente. Come possiamo apprendere dal sopra citato CVE, su IPFire 2.25 Core 155, è stata scoperta una vulnerabilità sul modulo per la gestione dei backup.

Modulo Backup

Il modulo backup è integrato su IPFire e viene da questi utilizzato per conservare la configurazione e le impostazioni personali del tuo IPFire.

Il backup dei dati include le seguenti impostazioni:

- Impostazioni del server DHCP

- Impostazioni IPSec e OpenVPN

- Impostazioni DynDNS e firewall

- Port forwarding e accesso esterno

- Backup dei file include.user ed exclude.user

Oltre a queste è possibile salvare le impostazioni dei vari plug-in. Un altra interessante utilità di questo modulo riguarda la possibilità di utilizzarlo per creare la tua ISO per poterla poi deployare su un nuovo sistema o una VM.

Il Restore viene eseguito sempre dalla stessa interfaccia web.

CVE-2021-33393 Detail

Segnalata come vulnerabilità ad alto rischio (Base Score: 8.8) la CVE-2021-33393, riguarda l'eseguibile che permette le operazioni di backup come sopra descritte. Il file incriminato è il seguente: /var/ipfire/backup/bin/backup.pl.

L'exploit permette potenzialmente di eseguire codice arbitrario con privilegi di root. La vulnerabilità è causata da un errata gestione dei permessi che rendono l'eseguibile backup.pl richiamabile anche tramite un account non privilegiato, ma che verrà successivamente eseguito da root tramite /cgi-bin/pakfire.cgi.

Se volete testare il vostro firewall è disponibile per Metasploit un modulo classificato come "authenticated command injection vulnerability".

Il mio consiglio è quello di aggiornare ovviamente IPFire al nuovo Core Update 158 ed evitare di esporre le interfacce di gestione all'esterno, siano esse SSH o la GUI Web.

Disponibile la versione di test: IPFire 2.25 - Core 158

Questa versione di test porta importanti novità e modifiche sul nostro firewall IPFire: IPsec, Proxy web, aggiornamenti del microcodice e aggiornamento di molti pacchetti di sistema.

Altra importante novità riguarda il ridimensionamento della partizione di root incrementata di default a 1600MiB. Questo comporta l'aumento dei requisiti minimi per l'installazione di IPFire a 2GB.

IPsec with Apple iOS & Mac OS

Adesso è possibile esportare le impostazioni per la connessione IPsec roadwarrior per i dispositivi Apple in modo da facilitarne l'integrazione soprattutto in presenza di Certificati.

Per esportare il file di configurazione della VPN basta cliccare sull'icona della mela sul menù Azioni.

Proxy web: rimozione dell'opzione per falsificare il referrer e lo User-Agent

Il controllo referrer (HTTP_REFERER), veniva utilizzato dai siti web per ottenere l'URL della pagina di provenienza, mentre il controllo sullo User-Agent per ottenere il tipo di browser utilizzato.

La maggior parte dei siti oggi utilizza il protocollo HTTPS o altre modalità di crittografia, motivo per cui la falsificazione del referrer e dello User-Agent per mantenere una maggiore privacy, risulta inefficace e in certi casi contro producente per la navigazione.

Per evitare di dare un falso senso di privacy quindi è stata rimossa questa funzionalità dalla GUI di gestione del Proxy web.

Aggiornamenti del microcodice per risolvere vulnerabilità di sicurezza hardware

Gli aggiornamenti del microcodice per i processori Intel forniti in questa versione (20210608) sono:

- INTEL-SA-00442 - 2021.1 IPU - Avviso Intel VT-d
- INTEL-SA-00464 - 2021.1 IPU - Avviso sui processori Intel
- INTEL-SA-00465 - 2021.1 IPU - Avviso sul processore Intel Atom

Gli aggiornamenti del microcodice (microcode update (MCU), riguardano il microcodice del processore, cioè il codice contenuto all'interno della CPU. Per poter interagire con il kernel del sistema operativo il microcodice del processore viene caricato nella memoria. Spesso il BIOS (o UEFI) della scheda madre aggiorna il microcodice della CPU durante la fase di boot, ma in alcuni casi dove avviene il rilascio di aggiornamenti del microcodice per processori meno recenti questo lavoro viene svolto a livello di kernel.

Ovviamente è sempre meglio effettuare questo tipo di patching a livello hardware, per questo è consigliabile tenere aggiornato il firmware della scheda madre all'ultima versione poiché potrebbe contenere aggiornamenti inerenti il microcode per la CPU.

Rimozione automatica di alcuni pacchetti

Alcuni pacchetti sono stati eliminati perché considerati non più manutenuti da molto tempo e verranno automaticamente disinstallati su IPFire.

In questi casi è opportuno spostare questi servizi su macchine differenti dal firewall per avere una maggiore protezione.

Potete trovare la lista del rilascio dell'aggiornamento con la lista dei pacchetti eliminati al seguente link.