Została wydana wersja dystrybucji OpenWrt 25.12.6, rozwijanej dla urządzeń sieciowych, takich jak routery, przełączniki i punkty dostępowe. OpenWrt obsługuje ponad 2200 urządzeń i oferuje system budowy, który upraszcza krzyżową kompilację oraz tworzenie własnych wersji. Takie wersje umożliwiają tworzenie gotowych firmware'ów z pożądanym zestawem wstępnie zainstalowanych pakietów, zoptymalizowanych pod konkretne zadania. Gotowe wersje zostały opublikowane dla 41 docelowych platform.
Wśród zmian:
- Dodano wsparcie dla urządzeń:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Dodano nowe wersje budowy dla wcześniej wspieranych urządzeń na chipach mediatek: Cudy M3000 v1/v2 i Cudy M3000 v2 — dodano obrazy z U-Boot.
- Wprowadzone poprawki związane z działaniem platform:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- Ustawienia WPA3 zostały zmienione, aby spełniały zalecenia zawarte w specyfikacji WPA3:
- Domyślnie wyłączono obsługę szyfru GCMP-256 i algorytmu zarządzania kluczem SAE-EXT-KEY w trybach sae (WPA3-Personal) oraz sae-mixed (WPA2/WPA3).
- W aktywnym trybie ochrony ramek (PMF / 802.11w) domyślnie włączono mechanizm Beacon Protection, mający na celu ochronę przed aktywnymi atakami na sieć bezprzewodową, manipulującymi zmianami ramek Beacon.
- Dodano nowy tryb zgodności z WPA3-Personal — sae-compat, umożliwiający klientom WPA2 dalsze korzystanie z sieci WPA2, ale klientów obsługujących RSN (Robust Security Network) przekierowujących na WPA3.
- Dodano opcję transition_disable, aby zabronić klientom powrotu do starszych trybów zabezpieczeń w sieci WPA3.
- W pakiecie wifi-scripts wznowiono wsparcie dla 802.11ad (60 GHz) oraz opanowano działanie opcji multicast_to_unicast.
- W kliencie DHCP dodano opcję „sendclientid” w celu nadpisania identyfikatora klienta DHCPv4 i DHCPv6.
- W interfejsie webowym LuCI zaproponowano nowy opcjonalny motyw graficzny.
„luci-theme-footstrap”. Do motywu „luci-mod-dashboard” dodano interaktywne wykresy oraz możliwość dostosowania rozmieszczenia elementów. Dodano nowe aplikacje luci-app-librespeed i luci-app-weechat. - Zaktualizowane wersje jądra Linux 6.12.112 (wcześniej 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c i iwinfo. - Zaktualizowane wersje curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 i rsync 3.5.1 z usuniętymi podatnościami. - Usunięto zdalnie eksploatowane podatności w domyślnie włączonych usługach sieciowych:
- uhttpd — przepełnienie bufora poprzez manipulację parametrami w żądaniach „POST /ubus/call/”, a także kilka podatności typu DoS i możliwość wtrącenia w cudze żądania.
- 16 podatności w Mbed TLS (domyślnie używane w uhttpd, hostapd i wpa_supplicant), w tym zdalne przepełnienie bufora, które może być wykorzystywane w konfiguracjach (D)TLS z zestawem szyfrów ECDHE-PSK.
- hostapd i wpa_supplicant — uszkodzenie pamięci podczas przetwarzania specjalnie sformatowanych ramek kontrolnych (atak możliwy bez uwierzytelnienia) w sieciach WiFi 7.
- rpcd — dwie podatności prowadzące do podwyższenia uprawnień z powodu problemów z przetwarzaniem linków symbolicznych oraz
umieszczenia tokena sesji z uprawnieniami w katalogu tymczasowym. - cgi-io — dostęp do pamięci po zwolnieniu podczas dekodowania specjalnie sformatowanych żądań POST.
- interfejs webowy LuCI: kilka podatności, które umożliwiają nieuprzywilejowanemu użytkownikowi wykonanie kodu z uprawnieniami root.
- ead-client (Emergency Access Daemon client): przepełnienie bufora podczas przetwarzania specjalnie sformatowanych fałszywych wiadomości od serwery.
- kilkadziesiąt podatności w OpenSSL i wolfSSL.
Źródło: opennet.ru
