Vydání OpenWrt 25.12.6

Byla představena nová verze distribuce OpenWrt 25.12.6, která je vyvíjena pro síťová zařízení, jako jsou směrovače, přepínače a přístupové body. OpenWrt podporuje více než 2200 zařízení a nabízí systém sestavení, který usnadňuje křížovou kompilaci a vytváření vlastních verzí. Tyto verze umožňují vytvářet hotové firmwary se zvoleným souborem předinstalovaných balíčků, optimalizované pro konkrétní úkoly. Hotové verze byly publikovány pro 41 cílových platforem.

Mezi změnami:

• Byla přidána podpora zařízení:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
• Byly přidány nové varianty sestavení pro dříve podporované zařízení na čipech mediatek: Cudy M3000 v1/v2 a Cudy M3000 v2 — byly přidány obrazy s U-Boot.
• Byly provedeny opravy týkající se fungování platforem:
  • ath79: GL.iNet GL-E750 (Mudi) V2.
  • bcm47xx: Gateworks Ventana, Traverse Ten64.
  • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
  • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
  • mvebu: Turris MOX.
  • qualcommax: ASUS RT-AX89X.
  • realtek: D-Link DGS-1210-28P/MP.
  • rockchip: NanoPi R3S (1 GB).
  • sunxi: NanoPi NEO 2.
• Nastavení WPA3 byla změněna tak, aby splňovala doporučení uvedená ve specifikaci WPA3:
  • Podpora šifrovacího algoritmu GCMP-256 a algoritmu řízení klíčů SAE-EXT-KEY je ve výchozím nastavení vypnuta v režimech sae (WPA3-Personal) a sae-mixed (WPA2/WPA3).
  • Při aktivním režimu ochrany rámců (PMF / 802.11w) je ve výchozím nastavení zapnuta funkce Beacon Protection, zaměřená na ochranu před aktivními útoky na bezdrátovou síť, které manipulují se změnou rámců Beacon.
  • Byl přidán nový režim kompatibility s WPA3-Personal — sae-compat, který umožňuje klientům WPA2 pokračovat v používání sítě WPA2, ale klienty s podporou RSN (Robust Security Network) přehazuje na WPA3.
  • Byla přidána možnost transition_disable pro zákaz návratu klientů na staré bezpečnostní režimy v síti s WPA3.
• V balíčku wifi-scripts byla obnovena podpora 802.11ad (60 GHz) a zavedena funkce multicast_to_unicast.
• Do DHCP klienta byla přidána možnost „sendclientid“ pro přepsání identifikátoru klienta DHCPv4 a DHCPv6.
• V webovém rozhraní LuCI byla navržena nová volitelná šablona.
  „luci-theme-footstrap“. Do šablony „luci-mod-dashboard“ byly přidány interaktivní grafy a možnost nastavení umístění prvků. Byly přidány nové aplikace luci-app-librespeed a luci-app-weechat.
• Byly aktualizovány verze jádra Linux 6.12.112 (předtím 6.12.94), OpenSSL 3.5.9,
  Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c a iwinfo.
• Byly aktualizovány verze curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
  BIND 9.20.29,
  OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
  1.70.0,
  libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
  PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
  xz 5.8.3 a rsync 3.5.1 s opravou zranitelností.
• Byly odstraněny vzdáleně zneužitelné zranitelnosti v síťových službách, které jsou zapnuté ve výchozím nastavení:
  • uhttpd — přetečení zásobníku při manipulaci s parametrem ve zprávách "POST /ubus/call/", stejně jako několik DoS zranitelností a možnost vniknutí do cizích zpráv.
  • 16 zranitelností v Mbed TLS (používá se jako výchozí v uhttpd, hostapd a wpa_supplicant), mezi nimiž je vzdálené přetečení zásobníku, které lze zneužít v konfiguracích (D)TLS s sadou šifer ECDHE-PSK.
  • hostapd a wpa_supplicant — poškození paměti při zpracování speciálně formátovaných řídicích rámců (útok je možný bez autentizace) v sítích WiFi 7.
  • rpcd — dvě zranitelnosti vedoucí k zvýšení oprávnění kvůli problémům při zpracování symbolických odkazů a
    umístění tokenu privilegované relace do dočasného adresáře.
  • cgi-io — přístup k paměti po uvolnění při dekódování speciálně formátovaných POST zpráv.
  • webové rozhraní LuCI: několik zranitelností umožňujících neprivilegovanému uživateli vykonat kód s právy root.
  • ead-client (klient Emergency Access Daemon): přetečení zásobníku při zpracování speciálně formátovaných falešných zpráv od serveru.
  • několika desítek zranitelností v OpenSSL a wolfSSL.

  Zdroj: opennet.ru