De release van de OpenWrt-distributie 25.12.6 is gepresenteerd, ontwikkeld voor netwerkapparaten zoals routers, switches en toegangspunten. OpenWrt ondersteunt meer dan 2200 apparaten en biedt een build-systeem dat cross-compilatie en het maken van eigen builds vergemakkelijkt. Dergelijke builds maken het mogelijk om kant-en-klare firmware te vormen met een gewenste set vooraf geïnstalleerde pakketten, geoptimaliseerd voor specifieke taken. Kant-en-klare builds zijn gepubliceerd voor 41 doelplatforms.
Onder de wijzigingen:
- Ondersteuning voor apparaten toegevoegd:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Nieuwe build-opties zijn toegevoegd voor eerder ondersteunde apparaten met mediatek-chips: Cudy M3000 v1/v2 en Cudy M3000 v2 - beelden met U-Boot zijn toegevoegd.
- Correcties aangebracht met betrekking tot het functioneren van de platforms:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- WPA3-instellingen zijn gewijzigd om te voldoen aan de aanbevelingen zoals vermeld in de WPA3-specificatie:
- Standaard is de ondersteuning voor de cipher GCMP-256 en het sleutelbeheer-algoritme SAE-EXT-KEY uitgeschakeld in de modi sae (WPA3-Personal) en sae-mixed (WPA2/WPA3).
- Bij actieve framebeveiliging (PMF / 802.11w) is de Beacon Protection-mechanisme standaard ingeschakeld, bedoeld ter bescherming tegen actieve aanvallen op het draadloze netwerk, die de wijziging van Beacon-frames manipuleren.
- Een nieuwe compatibiliteitsmodus met WPA3-Personal is toegevoegd — sae-compat, waarmee WPA2-klanten het WPA2-netwerk kunnen blijven gebruiken, maar klanten die RSN (Robust Security Network) ondersteunen, worden omgeleid naar WPA3.
- Een optie transition_disable is toegevoegd om het terugvallen van klanten naar oudere beveiligingsmodi in een WPA3-netwerk te verbieden.
- In het wifi-scripts-pakket is de ondersteuning voor 802.11ad (60 GHz) hersteld en is de werking van de optie multicast_to_unicast verbeterd.
- In de DHCP-client is de optie ‘sendclientid’ toegevoegd om de client-ID van DHCPv4 en DHCPv6 te overschrijven.
- In de webinterface LuCI is een nieuw optioneel thema voorgesteld
‘luci-theme-footstrap’. In het thema ‘luci-mod-dashboard’ zijn interactieve grafieken en de mogelijkheid om de indeling van elementen aan te passen toegevoegd. Nieuwe apps luci-app-librespeed en luci-app-weechat zijn toegevoegd. - De versies van de Linux-kernel 6.12.112 zijn bijgewerkt (voorheen 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c en iwinfo. - De versies van curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 en rsync 3.5.1 met kwetsbaarheidoplossingen. - Afstandsexploiteerbare kwetsbaarheden in standaard ingeschakelde netwerkservices zijn verholpen:
- uhttpd — bufferoverloop door manipulatie van het parameter in ‘POST /ubus/call/’ verzoeken, evenals verschillende DoS- kwetsbaarheden en de mogelijkheid tot inbraak in andere verzoeken.
- 16 kwetsbaarheden in Mbed TLS (standaard gebruikt in uhttpd, hostapd en wpa_supplicant), waaronder een externe bufferoverloop die wordt uitgebuit in (D)TLS-configuraties met de ECDHE-PSK cipher suite.
- hostapd en wpa_supplicant — geheugenbeschadiging bij de verwerking van speciaal gevormde beheerframes (aanval mogelijk zonder authenticatie) in WiFi 7-netwerken.
- rpcd — twee kwetsbaarheden die leiden tot privilege escalation door problemen bij de verwerking van symbolische links en
de plaatsing van een privileged sessietoken in de tijdelijke map. - cgi-io — toegang tot geheugen na vrijgave tijdens de decodering van speciaal gevormde POST-verzoeken.
- webinterface LuCI: verschillende kwetsbaarheden die een niet-geprivilegieerde gebruiker in staat stellen om code met root-rechten uit te voeren.
- ead-client (Emergency Access Daemon client): bufferoverloop bij de verwerking van speciaal opgemaakte nepberichten van de server.
- Enkele tientallen kwetsbaarheden in OpenSSL en wolfSSL.
Bron: opennet.ru
