Nuovo aggiornamento disponibile per i test: IPFire 2.27 - Core Update 159

La novità più importante è sicuramente rappresentata dall'adozione del kernel Linux 5.10, l'ultima disponibile LTS (Long Term Support, con supporto a lunga scadenza) al momento. 

Le caratteristiche più salienti sono:

- Introduzione di nuovi driver che rendono più compatibile e prestante IPFire con l'hardware di nuova generazione.

- Miglioramento delle prestazioni di rete a livello di gestione dei pacchetti TCP/UDP (Livello di Trasporto) e per quanto riguarda lo stack WI-FI la gestione delle code di trasmissione.

- Supporto migliorato per l'hardware ARM a 64 bit (ARM Memory Tagging Extension e DeviceTree per dispositivi ARM Librem 5). L'architettura ARM a 32 bit è stata modificata da armv5tel a armv6l.

- Aggiornamenti driver DRM VC4 che abilita il supporto del display per Raspberry Pi 4.

- Avvio dei sistemi RISC-V con firmware EFI, grazie alla possibilità di eseguire kernel compresso zstd su architetture MIPS.

Non poteva mancare visto l'adozione del nuovo kernel l'aggiornamento della toolchain che comprende la raccolta di compilatori e linker, la libreria standard C e gli strumenti di base necessari per creare e gestire il nuovo kernel (GCC 11.1, glibc 2.33, binutils 2.36.1)

L'installazione è possibile eseguirla sempre tramite Pakfire, abilitando il repository del ramo "Testing".

Dopo l'aggiornamento che dura pochissimo, il sistema chiederà il riavvio della macchina come step necessario per questo tipo di update:

Finito il riavvio il sistema è pronto per essere utilizzato con il nostro IPFire 2.27 - Core Update 159 test e kernel 5.10.

Maggiori dettagli è possibile trovarli sul post originale.

IPFire 2.25 - Rilasciato l'aggiornamento Core 158

Rilasciato l'aggiornamento Core 158 per IPFire 2.25

Come abbiamo visto sull'annuncio della versione di test, l'aggiornamento per IPFire 2.25 Core 158, porta con se novità riguardanti IPsec, Proxy web e l'aggiornamento di molti pacchetti di sistema.

Il consiglio è quello di aggiornare il prima possibile i nostri firewall visto la vulnerabilità che viene risolta con questa versione (CVE-2021-33393).

Il Common Vulnerabilities and Explosures o CVE, è un dizionario che raggruppa tutte le vulnerabilità note pubblicamente. Come possiamo apprendere dal sopra citato CVE, su IPFire 2.25 Core 155, è stata scoperta una vulnerabilità sul modulo per la gestione dei backup.

Modulo Backup

Il modulo backup è integrato su IPFire e viene da questi utilizzato per conservare la configurazione e le impostazioni personali del tuo IPFire.

Il backup dei dati include le seguenti impostazioni:

- Impostazioni del server DHCP

- Impostazioni IPSec e OpenVPN

- Impostazioni DynDNS e firewall

- Port forwarding e accesso esterno

- Backup dei file include.user ed exclude.user

Oltre a queste è possibile salvare le impostazioni dei vari plug-in. Un altra interessante utilità di questo modulo riguarda la possibilità di utilizzarlo per creare la tua ISO per poterla poi deployare su un nuovo sistema o una VM.

Il Restore viene eseguito sempre dalla stessa interfaccia web.

CVE-2021-33393 Detail

Segnalata come vulnerabilità ad alto rischio (Base Score: 8.8) la CVE-2021-33393, riguarda l'eseguibile che permette le operazioni di backup come sopra descritte. Il file incriminato è il seguente: /var/ipfire/backup/bin/backup.pl.

L'exploit permette potenzialmente di eseguire codice arbitrario con privilegi di root. La vulnerabilità è causata da un errata gestione dei permessi che rendono l'eseguibile backup.pl richiamabile anche tramite un account non privilegiato, ma che verrà successivamente eseguito da root tramite /cgi-bin/pakfire.cgi.

Se volete testare il vostro firewall è disponibile per Metasploit un modulo classificato come "authenticated command injection vulnerability".

Il mio consiglio è quello di aggiornare ovviamente IPFire al nuovo Core Update 158 ed evitare di esporre le interfacce di gestione all'esterno, siano esse SSH o la GUI Web.

Disponibile la versione di test: IPFire 2.25 - Core 158

Questa versione di test porta importanti novità e modifiche sul nostro firewall IPFire: IPsec, Proxy web, aggiornamenti del microcodice e aggiornamento di molti pacchetti di sistema.

Altra importante novità riguarda il ridimensionamento della partizione di root incrementata di default a 1600MiB. Questo comporta l'aumento dei requisiti minimi per l'installazione di IPFire a 2GB.

IPsec with Apple iOS & Mac OS

Adesso è possibile esportare le impostazioni per la connessione IPsec roadwarrior per i dispositivi Apple in modo da facilitarne l'integrazione soprattutto in presenza di Certificati.

Per esportare il file di configurazione della VPN basta cliccare sull'icona della mela sul menù Azioni.

Proxy web: rimozione dell'opzione per falsificare il referrer e lo User-Agent

Il controllo referrer (HTTP_REFERER), veniva utilizzato dai siti web per ottenere l'URL della pagina di provenienza, mentre il controllo sullo User-Agent per ottenere il tipo di browser utilizzato.

La maggior parte dei siti oggi utilizza il protocollo HTTPS o altre modalità di crittografia, motivo per cui la falsificazione del referrer e dello User-Agent per mantenere una maggiore privacy, risulta inefficace e in certi casi contro producente per la navigazione.

Per evitare di dare un falso senso di privacy quindi è stata rimossa questa funzionalità dalla GUI di gestione del Proxy web.

Aggiornamenti del microcodice per risolvere vulnerabilità di sicurezza hardware

Gli aggiornamenti del microcodice per i processori Intel forniti in questa versione (20210608) sono:

- INTEL-SA-00442 - 2021.1 IPU - Avviso Intel VT-d
- INTEL-SA-00464 - 2021.1 IPU - Avviso sui processori Intel
- INTEL-SA-00465 - 2021.1 IPU - Avviso sul processore Intel Atom

Gli aggiornamenti del microcodice (microcode update (MCU), riguardano il microcodice del processore, cioè il codice contenuto all'interno della CPU. Per poter interagire con il kernel del sistema operativo il microcodice del processore viene caricato nella memoria. Spesso il BIOS (o UEFI) della scheda madre aggiorna il microcodice della CPU durante la fase di boot, ma in alcuni casi dove avviene il rilascio di aggiornamenti del microcodice per processori meno recenti questo lavoro viene svolto a livello di kernel.

Ovviamente è sempre meglio effettuare questo tipo di patching a livello hardware, per questo è consigliabile tenere aggiornato il firmware della scheda madre all'ultima versione poiché potrebbe contenere aggiornamenti inerenti il microcode per la CPU.

Rimozione automatica di alcuni pacchetti

Alcuni pacchetti sono stati eliminati perché considerati non più manutenuti da molto tempo e verranno automaticamente disinstallati su IPFire.

In questi casi è opportuno spostare questi servizi su macchine differenti dal firewall per avere una maggiore protezione.

Potete trovare la lista del rilascio dell'aggiornamento con la lista dei pacchetti eliminati al seguente link.

Rilasciato l'aggiornamento Core 157 per IPFire 2.25

Si è ultimata quella che avevamo definito "second part of our "spring clean" release", con il rilascio del nuovo aggiornamento Core 157 per IPFire 2.25.

Come avevamo anticipato, questa versione è importante sia per quanto riguarda la sicurezza del nostro firewall, che la stabilità.

Aggiornamento del kernel (Linux 4.14.232) e migrazione dei moduli di terze parti e del software presente su IPFire, dalla versione 2 di Python a Python 3 sono le principali novità che avevamo visto.

In oltre, sono stati rimossi diversi pacchetti non più utilizzati e molti sono stati aggiornati. Trovate la lista completa sul blog ufficiale.

L'aggiornamento va fato come di consueto tramite PakFire ed è ovviamente consigliato, ma attenzione se utilizzate script personalizzati con Python 2 è arrivato il momento di migrare alla versione successiva. Al momento è ancora presente Python 2, ma non verrà lasciato a lungo, visto che ha concluso il suo ciclo di vita l'1 Gennaio di quest'anno.

Disponibile la versione di test: IPFire 2.25 - Core 157

Questa versione definita come: "second part of our "spring clean" release", porta con se tanti aggiornamenti e novità. 

Queste pulizie riguardano l'aggiornamento di vari pacchetti software e l'abbandono di vari software non più utilizzati.

Migrazione da Python 2

Python 2 ha raggiunto la fine del suo ciclo di vita già a gennaio di quest'anno, per questo si sta lavorando al passaggio alla versione 3 di Python. Questo comporta il repackaging di tutti i moduli e la loro migrazione alla nuova versione di Python.

Nelle prossime settimane verrà rimosso tutto il codice Python 2 e si spera che la prossima versione stable di IPFire verrà totalmente epurata.

Per un po comunque verrà lasciato disponibile Python 2 per dare il tempo a coloro che hanno script personalizzati di poter migrare alla nuova versione.

Kernel IPFire update 4.14.232

Un altra interessante news che porta questa versione di test è l'aggiornamento del kernel IPFire dalla versione 4.14.212 alla 4.14.232. In questo update (longterm: 4.14.232 2021-04-28) vengono corretti diversi bugfix e aggiornamenti per una maggiore stabilità.

Trovate come sempre la lista aggiornata di tutte le novità introdotte dalla versione IPFire 2.5 - Core 157 test al seguente link.

Come eseguire l'aggiornamento alla versione di test

L'aggiornamento alla versione di test viene eseguito sempre tramite interfaccia web e Pakfire. Possiamo verificare la versione attualmente presente anche da console:

Il primo passaggio da fare è modificare il Repository in modo che ci restituisca il ramo Testing:

Dopo che Pakfire avrà scaricato le informazioni necessarie per l'aggiornamento avrete a disposizione in alto la versione di IPFire da poter selezionare:

L'update effettuerà l'aggiornamento alla nuova release e ci avviserà che per questo tipo di aggiornamento è necessario il riavvio:

Eseguiamo il reboot e verifichiamo lo stato della situazione:

Benissimo adesso il nostro IPFire è aggiornato all'ultima versione e possiamo procedere a effettuare i nostri test.

Mi raccomando, segnalateci eventuali anomalie che riscontrate per fixarle sulla prossima stable che uscirà prossimamente.