OpenWrt 25.12.6 veröffentlicht

Die Veröffentlichung der OpenWrt-Version 25.12.6 wurde vorgestellt, die für Netzwerkgeräte wie Router, Switches und Access Points entwickelt wird. OpenWrt unterstützt über 2200 Geräte und bietet ein Build-System, das die Cross-Kompilierung und Erstellung benutzerdefinierter Builds vereinfacht. Solche Builds ermöglichen die Erstellung fertiger Firmware mit einem gewünschten Satz vorkonfigurierter Pakete, die auf spezifische Aufgaben optimiert sind. Fertige Builds wurden für 41 Zielplattformen veröffentlicht.

Unter den Änderungen:

• Unterstützung für Geräte hinzugefügt:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
• Neue Build-Optionen wurden für zuvor unterstützte Geräte mit Mediatek-Chips hinzugefügt: Cudy M3000 v1/v2 und Cudy M3000 v2 – Images mit U-Boot wurden hinzugefügt.
• Es wurden Korrekturen im Zusammenhang mit der Funktionsweise der Plattformen vorgenommen:
  • ath79: GL.iNet GL-E750 (Mudi) V2.
  • bcm47xx: Gateworks Ventana, Traverse Ten64.
  • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
  • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
  • mvebu: Turris MOX.
  • qualcommax: ASUS RT-AX89X.
  • realtek: D-Link DGS-1210-28P/MP.
  • rockchip: NanoPi R3S (1 GB).
  • sunxi: NanoPi NEO 2.
• Die WPA3-Einstellungen wurden geändert, um den Empfehlungen in der WPA3-Spezifikation zu entsprechen:
  • Die Unterstützung des Verschlüsselungsalgorithmus GCMP-256 und des Schlüsselverwaltungsalgorithmus SAE-EXT-KEY ist in den Modi sae (WPA3-Personal) und sae-mixed (WPA2/WPA3) standardmäßig deaktiviert.
  • Im aktiven Modus zur Rahmenschutz (PMF / 802.11w) ist standardmäßig der Mechanismus Beacon Protection aktiviert, der zum Schutz vor aktiven Angriffen auf das drahtlose Netzwerk dient, die Rahmenbeacons manipulieren.
  • Ein neuer Kompatibilitätsmodus mit WPA3-Personal – sae-compat, wurde hinzugefügt, der es WPA2-Clients ermöglicht, weiterhin das WPA2-Netzwerk zu nutzen, während Clients mit RSN (Robust Security Network) auf WPA3 umgeleitet werden.
  • Die Option transition_disable wurde hinzugefügt, um den Rückfall von Clients auf ältere Sicherheitsmodi in einem Netzwerk mit WPA3 zu verhindern.
• Im Paket wifi-scripts wurde die Unterstützung für 802.11ad (60 GHz) wiederhergestellt und die Funktionalität der Option multicast_to_unicast verbessert.
• Im DHCP-Client wurde die Option "sendclientid" hinzugefügt, um die DHCPv4- und DHCPv6-Kunden-ID zu überschreiben.
• Im Web-Interface LuCI wurde ein neues optionales Design vorgeschlagen
  "luci-theme-footstrap". Im "luci-mod-dashboard"-Theme wurden interaktive Grafiken und die Möglichkeit zur Anpassung der Anordnung von Elementen hinzugefügt. Neue Anwendungen luci-app-librespeed und luci-app-weechat wurden hinzugefügt.
• Die Kernel-Versionen wurden auf Linux 6.12.112 (zuvor 6.12.94), OpenSSL 3.5.9,
  Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c und iwinfo.
• Die Versionen von curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
  BIND 9.20.29,
  OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
  1.70.0,
  libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
  PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
  xz 5.8.3 und rsync 3.5.1 mit Behebung von Sicherheitsanfälligkeiten.
• Remote ausnutzbare Schwachstellen in standardmäßig aktivierten Netzwerkdiensten wurden beseitigt:
  • uhttpd – Bufferüberlauf durch Manipulation von Parametern in "POST /ubus/call/"-Anfragen sowie mehrere DoS-Sicherheitsanfälligkeiten und die Möglichkeit, sich in fremde Anfragen einzuschleusen.
  • 16 Sicherheitsanfälligkeiten in Mbed TLS (standardmäßig in uhttpd, hostapd und wpa_supplicant verwendet), darunter ein Remote-Bufferüberlauf, der in (D)TLS-Konfigurationen mit ECDHE-PSK-Verschlüsselung ausgenutzt werden kann.
  • hostapd und wpa_supplicant – Speicherbeschädigung bei der Verarbeitung speziell gestalteter Steuerrahmen (Angriff ist ohne Authentifizierung in WiFi 7-Netzwerken möglich).
  • rpcd – zwei Sicherheitsanfälligkeiten, die zu einem Privilegienaufstieg führen, aufgrund von Problemen bei der Verarbeitung von symbolischen Links und
    der Platzierung eines privilegierten Sitzungstokens im temporären Verzeichnis.
  • cgi-io – Zugriff auf Speicher nach Freigabe beim Dekodieren speziell gestalteter POST-Anfragen.
  • Web-Interface LuCI: mehrere Sicherheitsanfälligkeiten, die es einem nicht privilegierten Benutzer ermöglichen, Code mit Root-Rechten auszuführen.
  • ead-client (Emergency Access Daemon client): Bufferüberlauf bei der Verarbeitung speziell gestalteter gefälschter Nachrichten von Server.
  • Mehrere Dutzend Sicherheitsanfälligkeiten in OpenSSL und wolfSSL.

  Quelle: opennet.ru