Se ha presentado la versión del distribuidor OpenWrt 25.12.6, desarrollado para dispositivos de red, como enrutadores, conmutadores y puntos de acceso. OpenWrt admite más de 2200 dispositivos y ofrece un sistema de compilación que simplifica la recompilación cruzada y la creación de compilaciones personalizadas. Estas compilaciones permiten formar firmware listo con el conjunto deseado de paquetes preinstalados, optimizados para tareas específicas. Se han publicado compilaciones listas para 41 plataformas objetivo.
Entre los cambios:
- Se ha añadido soporte para dispositivos:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Se han agregado nuevas opciones de compilación para dispositivos previamente compatibles con chips mediatek: Cudy M3000 v1/v2 y Cudy M3000 v2 - se han añadido imágenes con U-Boot.
- Se han realizado correcciones relacionadas con el funcionamiento de las plataformas:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- La configuración de WPA3 se ha modificado para cumplir con las recomendaciones establecidas en la especificación WPA3:
- De forma predeterminada, el soporte para el cifrado GCMP-256 y el algoritmo de control de claves SAE-EXT-KEY está desactivado en los modos sae (WPA3-Personal) y sae-mixed (WPA2/WPA3).
- En modo de protección de tramas activo (PMF / 802.11w), se ha habilitado por defecto el mecanismo de Protección de Beacon, diseñado para proteger contra ataques activos en la red inalámbrica que manipulan el cambio de los tramas Beacon.
- Se ha añadido un nuevo modo de compatibilidad con WPA3-Personal: sae-compat, permitiendo a los clientes WPA2 continuar utilizando la red WPA2, pero redirigiendo a los clientes compatibles con RSN (Red de Seguridad Robusta) a WPA3.
- Se ha añadido la opción transition_disable para prohibir la retrocesión de clientes a antiguos modos de seguridad en redes con WPA3.
- En el paquete wifi-scripts se ha reactivado el soporte para 802.11ad (60 GHz) y se ha optimizado el funcionamiento de la opción multicast_to_unicast.
- En el cliente DHCP se ha añadido la opción 'sendclientid' para redefinir el identificador del cliente DHCPv4 y DHCPv6.
- En la interfaz web LuCI se ha propuesto un nuevo tema opcional de diseño
‘luci-theme-footstrap’. En el tema ‘luci-mod-dashboard’ se han añadido gráficos interactivos y la opción de personalizar la disposición de los elementos. Se han agregado nuevas aplicaciones luci-app-librespeed y luci-app-weechat. - Se han actualizado las versiones del núcleo de Linux 6.12.112 (antes 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c e iwinfo. - Se han actualizado las versiones de curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 y rsync 3.5.1 con correcciones de vulnerabilidades. - Se han abordado vulnerabilidades explotables de forma remota en servicios de red habilitados por defecto:
- uhttpd — desbordamiento de búfer a través de la manipulación de parámetros en solicitudes "POST /ubus/call/", así como varias vulnerabilidades de DoS y posibilidad de inyectar en solicitudes ajenas.
- 16 vulnerabilidades en Mbed TLS (utilizado por defecto en uhttpd, hostapd y wpa_supplicant), entre las que se incluyen un desbordamiento de búfer remoto, explotado en configuraciones (D)TLS con el conjunto de cifrado ECDHE-PSK.
- hostapd y wpa_supplicant — corrupción de memoria al procesar tramas de control especialmente formateadas (el ataque es posible sin autenticación) en redes WiFi 7.
- rpcd — dos vulnerabilidades que llevan a un aumento de privilegios debido a problemas en el manejo de enlaces simbólicos y
la colocación de un token de sesión privilegiada en un directorio temporal. - cgi-io — acceso a la memoria después de liberar al decodificar solicitudes POST especialmente formuladas.
- interfaz web LuCI: varias vulnerabilidades que permiten a un usuario no privilegiado ejecutar código con derechos de root.
- ead-client (Emergency Access Daemon client): desbordamiento de búfer al procesar mensajes falsos especialmente formateados de servidores.
- Vulnerabilidades por decenas en OpenSSL y wolfSSL.
Fuente: opennet.ru
