È stato rilasciato OpenWrt 25.12.6, sviluppato per dispositivi di rete come router, switch e punti di accesso. OpenWrt supporta oltre 2200 dispositivi e offre un sistema di costruzione che semplifica la cross-compilazione e la creazione di versioni personalizzate. Queste versioni consentono di formare firmware pronti con un insieme desiderato di pacchetti preinstallati, ottimizzati per compiti specifici. Le versioni pronte sono pubblicate per 41 piattaforme target.
Tra le modifiche:
- Aggiunta la supporto per dispositivi:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Sono state aggiunte nuove versioni per dispositivi già supportati con chip mediatek: Cudy M3000 v1/v2 e Cudy M3000 v2 - aggiunte le immagini con U-Boot.
- Sono state apportate correzioni relative al funzionamento delle piattaforme:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- Le impostazioni WPA3 sono state modificate per conformarsi alle raccomandazioni indicate nella specifica WPA3:
- Per impostazione predefinita, il supporto per il cifrario GCMP-256 e l'algoritmo di gestione delle chiavi SAE-EXT-KEY sono disabilitati nei modi sae (WPA3-Personal) e sae-mixed (WPA2/WPA3).
- Con la protezione dei frame (PMF / 802.11w) attivata per impostazione predefinita è stato attivato il meccanismo di protezione del Beacon, progettato per proteggere da attacchi attivi alla rete wireless, manipolando la modifica dei frame Beacon.
- Aggiunto un nuovo modo di compatibilità con WPA3-Personal - sae-compat, che consente ai client WPA2 di continuare a utilizzare la rete WPA2, ma i client compatibili con RSN (Robust Security Network) vengono reindirizzati a WPA3.
- Aggiunta l'opzione transition_disable per vietare il ritorno dei client a modalità di sicurezza obsolete in una rete con WPA3.
- Nel pacchetto wifi-scripts è stato ripristinato il supporto per 802.11ad (60 GHz) e funzionalità multicast_to_unicast è stata attivata.
- Nel client DHCP è stata aggiunta l'opzione 'sendclientid' per sovrascrivere l'identificatore del client DHCPv4 e DHCPv6.
- Nell'interfaccia web LuCI è stato proposto un nuovo tema opzionale
‘luci-theme-footstrap’. Nel tema ‘luci-mod-dashboard’ sono state aggiunte grafica interattiva e la possibilità di configurare la posizione degli elementi. Sono state aggiunte nuove applicazioni luci-app-librespeed e luci-app-weechat. - Aggiornate le versioni del kernel Linux 6.12.112 (precedentemente 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c e iwinfo. - Aggiornate le versioni di curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 e rsync 3.5.1 con correzioni delle vulnerabilità. - Risolte vulnerabilità sfruttabili da remoto nei servizi di rete abilitati di default:
- uhttpd — overflow del buffer tramite manipolazione dei parametri nelle richieste "POST /ubus/call/", oltre a diverse vulnerabilità DoS e possibilità di iniezione nelle richieste altrui.
- 16 vulnerabilità in Mbed TLS (utilizzato per impostazione predefinita in uhttpd, hostapd e wpa_supplicant), tra cui un overflow del buffer remoto, sfruttabile in configurazioni (D)TLS con suite di cifratura ECDHE-PSK.
- hostapd e wpa_supplicant — danneggiamento della memoria durante l'elaborazione di frame di controllo appositamente formati (l'attacco è possibile senza autenticazione) nelle reti WiFi 7.
- rpcd — due vulnerabilità che portano a un'elevazione dei privilegi a causa di problemi nell'elaborazione dei collegamenti simbolici e
posizionamento di un token di sessione privilegiato nella directory temporanea. - cgi-io — accesso alla memoria dopo il rilascio durante la decodifica di POST request appositamente formattate.
- interfaccia web LuCI: diverse vulnerabilità che consentono a un utente non privilegiato di eseguire codice con diritti di root.
- ead-client (Emergency Access Daemon client): overflow del buffer durante l'elaborazione di messaggi fasulli appositamente formattati da server.
- Diverse decine di vulnerabilità in OpenSSL e wolfSSL.
Fonte: opennet.ru
