Version OpenWrt 25.12.6

La version de la distribution OpenWrt 25.12.6 a été publiée, développée pour des dispositifs réseau tels que des routeurs, des commutateurs et des points d'accès. OpenWrt prend en charge plus de 2200 appareils et propose un système de construction facilitant la cross-compilation et la création de ses propres versions. De telles versions permettent de créer des firmwares prêts à l'emploi avec un ensemble de packages préinstallés, optimisés pour des tâches spécifiques. Des versions prêtes à l'emploi ont été publiées pour 41 plates-formes cibles.

Parmi les changements :

• Ajout de la prise en charge des appareils :
  • ipq806x : Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek : Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 Mo), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx) : CMCC MR3000D-CI.
  • ramips (mt7621) : TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8) : Cudy LT500 Outdoor v1.
  • rockchip : FriendlyARM NanoPi R2S Plus.
• De nouvelles versions ont été ajoutées pour les appareils précédemment pris en charge avec des puces mediatek : Cudy M3000 v1/v2 et Cudy M3000 v2 — des images avec U-Boot ont été ajoutées.
• Des corrections ont été apportées concernant le fonctionnement des plateformes :
  • ath79 : GL.iNet GL-E750 (Mudi) V2.
  • bcm47xx : Gateworks Ventana, Traverse Ten64.
  • mediatek : MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
  • mpc85xx : Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
  • mvebu : Turris MOX.
  • qualcommax : ASUS RT-AX89X.
  • realtek : D-Link DGS-1210-28P/MP.
  • rockchip : NanoPi R3S (1 Go).
  • sunxi : NanoPi NEO 2.
• Les paramètres WPA3 ont été modifiés pour se conformer aux recommandations spécifiées dans la norme WPA3 :
  • Le support du chiffre GCMP-256 et de l'algorithme de gestion des clés SAE-EXT-KEY est désactivé par défaut dans les modes sae (WPA3-Personal) et sae-mixed (WPA2/WPA3).
  • En mode de protection des trames actif (PMF / 802.11w), le mécanisme de protection des signaux Beacon est activé par défaut, conçu pour protéger contre les attaques actives sur le réseau sans fil manipulant les modifications des signaux Beacon.
  • Un nouveau mode de compatibilité avec WPA3-Personal — sae-compat a été ajouté, permettant aux clients WPA2 de continuer à utiliser le réseau WPA2, tout en redirigeant les clients compatibles avec RSN (Robust Security Network) vers WPA3.
  • Une option transition_disable a été ajoutée pour interdire le retour des clients aux anciens modes de sécurité sur un réseau WPA3.
• Dans le paquet wifi-scripts, la prise en charge de 802.11ad (60 GHz) a été rétablie et la fonctionnalité de l'option multicast_to_unicast a été rétablie.
• Une option «sendclientid» a été ajoutée au client DHCP pour redéfinir l'identifiant du client DHCPv4 et DHCPv6.
• Une nouvelle interface utilisateur facultative a été proposée dans l'interface web LuCI.
  «luci-theme-footstrap». Des graphiques interactifs et la possibilité de personnaliser la disposition des éléments ont été ajoutés au thème «luci-mod-dashboard». De nouvelles applications luci-app-librespeed et luci-app-weechat ont été ajoutées.
• Versions du noyau Linux mises à jour 6.12.112 (anciennement 6.12.94), OpenSSL 3.5.9,
  Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c et iwinfo.
• Versions mises à jour de curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
  BIND 9.20.29,
  OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
  1.70.0,
  libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
  PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
  xz 5.8.3 et rsync 3.5.1 avec correction des vulnérabilités.
• Des vulnérabilités exploitables à distance dans les services réseau activés par défaut ont été corrigées :
  • uhttpd — débordement de tampon par manipulation des paramètres dans les requêtes « POST /ubus/call/ », ainsi que plusieurs vulnérabilités DoS et la possibilité de manipuler des requêtes tierces.
  • 16 vulnérabilités dans Mbed TLS (utilisé par défaut dans uhttpd, hostapd et wpa_supplicant), dont un débordement de tampon à distance, exploitable dans les configurations (D)TLS avec l'ensemble de chiffrement ECDHE-PSK.
  • hostapd et wpa_supplicant — corruption de mémoire lors du traitement de trames de contrôle spécifiquement conçues (attaque possible sans authentification) dans les réseaux WiFi 7.
  • rpcd — deux vulnérabilités permettant l'élévation de privilèges à cause de problèmes lors du traitement des liens symboliques et
    deplacement d'un jeton de session privilégié dans le répertoire temporaire.
  • cgi-io — accès à la mémoire après libération lors du décodage de requêtes POST spécifiquement formatées.
  • interface web LuCI : plusieurs vulnérabilités permettant à un utilisateur non privilégié d'exécuter du code avec des droits root.
  • ead-client (client du démon d'accès d'urgence) : débordement de tampon lors du traitement de messages falsifiés spécialement formés de de serveurs.
  • Plusieurs dizaines de vulnérabilités dans OpenSSL et wolfSSL.

  Source : opennet.ru