Byla představena nová verze distribuce OpenWrt 25.12.6, vyvíjené pro síťová zařízení, jako jsou směrovače, switche a přístupové body. OpenWrt podporuje více než 2200 zařízení a nabízí systém sestavení, který usnadňuje kross-kompilaci a vytváření vlastních sestavení. Tato sestavení umožňují vytvářet hotové firmware s požadovanou sadou předinstalovaných balíčků optimalizovaných pro konkrétní úkoly. Hotové sestavy byly publikovány pro 41 cílových platforem.
Mezi změnami:
- Byla přidána podpora zařízení:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Byly přidány nové varianty sestavení pro dříve podporovaná zařízení na čipech mediatek: Cudy M3000 v1/v2 a Cudy M3000 v2 — byly přidány obrazy s U-Boot.
- Byly provedeny opravy týkající se fungování platforem:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- Nastavení WPA3 byla změněna tak, aby vyhovovala doporučením uvedeným ve specifikaci WPA3:
- Podpora šifru GCMP-256 a algoritmu správy klíčů SAE-EXT-KEY je ve výchozím nastavení zakázána v režimech sae (WPA3-Personal) a sae-mixed (WPA2/WPA3).
- Při aktivním režimu ochrany rámců (PMF / 802.11w) je ve výchozím nastavení aktivní mechanismus Beacon Protection, určený k ochraně před aktivními útoky na bezdrátovou síť, manipulujícími s rámy Beacon.
- Byl přidán nový režim kompatibility s WPA3-Personal — sae-compat, který umožňuje klientům WPA2 pokračovat v používání sítě WPA2, ale klienty s podporou RSN (Robust Security Network) přehazuje na WPA3.
- Byla přidána možnost transition_disable pro zákaz vrácení klientů na staré bezpečnostní režimy v síti s WPA3.
- V balíčku wifi-scripts byla obnovena podpora 802.11ad (60 GHz) a zprovozněna možnost multicast_to_unicast.
- Do DHCP klienta byla přidána možnost "sendclientid" pro přep override identifikátor klienta DHCPv4 a DHCPv6.
- Ve webovém rozhraní LuCI byla nabídnuta nová volitelná téma designu
"luci-theme-footstrap". Do tématu "luci-mod-dashboard" byly přidány interaktivní grafy a možnost úpravy umístění prvků. Byly přidány nové aplikace luci-app-librespeed a luci-app-weechat. - Byly aktualizovány verze jádra Linux 6.12.112 (předtím 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c a iwinfo. - Byly aktualizovány verze curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 a rsync 3.5.1 s opravami zranitelností. - Byly odstraněny vzdáleně zneužitelné zranitelnosti v síťových službách, které jsou zapnuté ve výchozím nastavení:
- uhttpd – přetečení vyrovnávací paměti prostřednictvím manipulace s parametrem v požadavcích „POST /ubus/call/“, stejně jako několik zranitelností DoS a možnost vniknutí do cizích požadavků.
- 16 zranitelností v Mbed TLS (používaném ve výchozím nastavení v uhttpd, hostapd a wpa_supplicant), mezi nimiž je vzdálené přetečení vyrovnávací paměti, zneužitelné v konfiguracích (D)TLS s šifrovací sadou ECDHE-PSK.
- hostapd a wpa_supplicant – poškození paměti při zpracování speciálně formulovaných řídicích rámců (útok je možný bez autentizace) v sítích WiFi 7.
- rpcd – dvě zranitelnosti vedoucí k eskalaci oprávnění kvůli problémům při zpracování symbolických odkazů a
umístění tokenu privilegovaného sezení do dočasného adresáře. - cgi-io – přístup k paměti po uvolnění při dekódování speciálně formulovaných POST požadavků.
- webové rozhraní LuCI: několik zranitelností, které umožňují neprivilegovanému uživateli spustit kód s oprávněním root.
- ead-client (klient Emergency Access Daemon): přetečení vyrovnávací paměti při zpracování speciálně formulovaných podvržených zpráv od serveru.
- několika desítek zranitelností v OpenSSL a wolfSSL.
Zdroj: opennet.ru
