Lanzamiento de OpenWrt 25.12.6

Se ha presentado la versión del distribuidor OpenWrt 25.12.6, desarrollado para dispositivos de red como enrutadores, conmutadores y puntos de acceso. OpenWrt es compatible con más de 2200 dispositivos y ofrece un sistema de compilación que simplifica la cruzada y la creación de compilaciones personalizadas. Tales compilaciones permiten crear firmware listo con el conjunto deseado de paquetes preinstalados, optimizados para tareas específicas. Las compilaciones ya listas han sido publicadas para 41 plataformas objetivo.

Entre los cambios:

• Se ha añadido soporte para dispositivos:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
• Se han agregado nuevas variantes de compilación para dispositivos ya compatibles con chips mediatek: Cudy M3000 v1/v2 y Cudy M3000 v2 - se han incluido imágenes con U-Boot.
• Se han realizado correcciones relacionadas con el funcionamiento de las plataformas:
  • ath79: GL.iNet GL-E750 (Mudi) V2.
  • bcm47xx: Gateworks Ventana, Traverse Ten64.
  • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
  • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
  • mvebu: Turris MOX.
  • qualcommax: ASUS RT-AX89X.
  • realtek: D-Link DGS-1210-28P/MP.
  • rockchip: NanoPi R3S (1 GB).
  • sunxi: NanoPi NEO 2.
• Se han modificado las configuraciones de WPA3 para cumplir con las recomendaciones especificadas en la especificación WPA3:
  • De forma predeterminada, se desactiva el soporte para el cifrado GCMP-256 y el algoritmo de control de claves SAE-EXT-KEY en los modos sae (WPA3-Personal) y sae-mixed (WPA2/WPA3).
  • En el modo de protección de tramas activo (PMF / 802.11w), se ha activado por defecto el mecanismo de Beacon Protection, diseñado para proteger contra ataques activos a la red inalámbrica que manipulan el cambio de tramas Beacon.
  • Se ha agregado un nuevo modo de compatibilidad con WPA3-Personal - sae-compat, que permite a los clientes de WPA2 seguir utilizando la red WPA2, pero redirige a los clientes compatibles con RSN (Red de Seguridad Robusta) a WPA3.
  • Se ha añadido la opción transition_disable para prohibir la reversión de los clientes a modos de seguridad antiguos en una red con WPA3.
• En el paquete wifi-scripts se ha reactivado el soporte para 802.11ad (60 GHz) y se ha facilitado el funcionamiento de la opción multicast_to_unicast.
• En el cliente DHCP se ha añadido la opción 'sendclientid' para redefinir el identificador del cliente DHCPv4 y DHCPv6.
• En la interfaz web de LuCI se ha propuesto un nuevo tema opcional de diseño
  'luci-theme-footstrap'. Se han añadido gráficos interactivos y la posibilidad de ajustar la disposición de los elementos en el tema 'luci-mod-dashboard'. También se han añadido nuevas aplicaciones luci-app-librespeed y luci-app-weechat.
• Se han actualizado las versiones del núcleo de Linux 6.12.112 (anteriormente 6.12.94), OpenSSL 3.5.9,
  Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c e iwinfo.
• Se han actualizado las versiones de curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
  BIND 9.20.29,
  OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
  1.70.0,
  libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
  PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
  xz 5.8.3 y rsync 3.5.1 con la eliminación de vulnerabilidades.
• Se han abordado vulnerabilidades explotables de forma remota en servicios de red habilitados por defecto:
  • uhttpd — desbordamiento de búfer a través de la manipulación de parámetros en solicitudes "POST /ubus/call/", así como varias vulnerabilidades de DoS y la posibilidad de inyección en solicitudes ajenas.
  • 16 vulnerabilidades en Mbed TLS (que se utiliza por defecto en uhttpd, hostapd y wpa_supplicant), entre las cuales se encuentra un desbordamiento de búfer remoto que se explota en configuraciones (D)TLS con el conjunto de cifrados ECDHE-PSK.
  • hostapd y wpa_supplicant — corrupción de memoria al procesar tramas de control especialmente diseñadas (el ataque es posible sin autenticación) en redes WiFi 7.
  • rpcd — dos vulnerabilidades que llevan a la elevación de privilegios debido a problemas en el tratamiento de enlaces simbólicos y
    la colocación de un token de sesión privilegiada en el directorio temporal.
  • cgi-io — acceso a memoria después de la liberación al decodificar solicitudes POST especialmente formateadas.
  • interfaz web LuCI: varias vulnerabilidades que permiten a un usuario no privilegiado ejecutar código con permisos de root.
  • ead-client (Emergency Access Daemon client): desbordamiento de búfer al procesar mensajes falsificados especialmente formateados de servidores.
  • varias decenas de vulnerabilidades en OpenSSL y wolfSSL.

  Fuente: opennet.ru