Wydanie OpenWrt 25.12.6

Została wydana wersja dystrybucji OpenWrt 25.12.6, rozwijanej dla urządzeń sieciowych, takich jak routery, switche i punkty dostępowe. OpenWrt obsługuje ponad 2200 urządzeń i oferuje system budowy, który ułatwia krzyżową kompilację i tworzenie własnych kompilacji. Takie kompilacje umożliwiają formowanie gotowych firmware'ów z pożądanym zestawem wstępnie zainstalowanych pakietów, zoptymalizowanych pod konkretne zadania. Gotowe kompilacje opublikowano dla 41 docelowych platform.

Wśród zmian:

• Dodano wsparcie dla urządzeń:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
• Dodano nowe warianty kompilacji dla wcześniej obsługiwanych urządzeń z chipami mediatek: Cudy M3000 v1/v2 i Cudy M3000 v2 — dodano obrazy z U-Boot.
• Wprowadzone poprawki związane z działaniem platform:
  • ath79: GL.iNet GL-E750 (Mudi) V2.
  • bcm47xx: Gateworks Ventana, Traverse Ten64.
  • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
  • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
  • mvebu: Turris MOX.
  • qualcommax: ASUS RT-AX89X.
  • realtek: D-Link DGS-1210-28P/MP.
  • rockchip: NanoPi R3S (1 GB).
  • sunxi: NanoPi NEO 2.
• Ustawienia WPA3 zostały zmienione w celu zgodności z zaleceniami określonymi w specyfikacji WPA3:
  • Domyślnie wyłączono obsługę szyfru GCMP-256 i algorytmu zarządzania kluczami SAE-EXT-KEY w trybach sae (WPA3-Personal) i sae-mixed (WPA2/WPA3).
  • W trybie aktywnej ochrony ramki (PMF / 802.11w) domyślnie włączono mechanizm Beacon Protection, zapobiegający aktywnym atakom na sieć bezprzewodową, manipulującym zmianą ramek Beacon.
  • Dodano nowy tryb zgodności z WPA3-Personal — sae-compat, pozwalający klientom WPA2 nadal korzystać z sieci WPA2, ale klientów z obsługą RSN (Robust Security Network) przeskakujących na WPA3.
  • Dodano opcję transition_disable, aby zablokować klienci powracających do starszych trybów bezpieczeństwa w sieci z WPA3.
• W pakiecie wifi-scripts przywrócono obsługę 802.11ad (60 GHz) i uruchomiono opcję multicast_to_unicast.
• W kliencie DHCP dodano opcję „sendclientid” w celu nadpisania identyfikatora klienta DHCPv4 i DHCPv6.
• W interfejsie webowym LuCI wprowadzono nowy opcjonalny motyw wizualny
  „luci-theme-footstrap”. Do motywu „luci-mod-dashboard” dodano interaktywne wykresy i możliwość dostosowania układu elementów. Dodano nowe aplikacje luci-app-librespeed i luci-app-weechat.
• Zaktualizowane wersje jądra Linux 6.12.112 (wcześniej 6.12.94), OpenSSL 3.5.9,
  Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c i iwinfo.
• Zaktualizowane wersje curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
  BIND 9.20.29,
  OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
  1.70.0,
  libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
  PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
  xz 5.8.3 i rsync 3.5.1 z naprawionymi lukami.
• Usunięto zdalnie eksploatowane podatności w domyślnie włączonych usługach sieciowych:
  • uhttpd — przepełnienie bufora poprzez manipulację parametrem w zapytaniach "POST /ubus/call/", a także kilka luk DoS i możliwość wstrzyknięcia do cudzych zapytań.
  • 16 luk w Mbed TLS (domyślnie używanych w uhttpd, hostapd i wpa_supplicant), w tym zdalne przepełnienie bufora, eksploatowane w konfiguracjach (D)TLS z zestawem szyfrów ECDHE-PSK.
  • hostapd i wpa_supplicant — uszkodzenie pamięci podczas przetwarzania specjalnie skonstruowanych ramek kontrolnych (atak możliwy bez uwierzytelnienia) w sieciach WiFi 7.
  • rpcd — dwie luki prowadzące do podniesienia uprawnień z powodu problemów z przetwarzaniem linków symbolicznych i
    umieszczania tokenu celem wysoce uprzywilejowanej sesji w katalogu tymczasowym.
  • cgi-io — dostęp do pamięci po zwolnieniu podczas dekodowania specjalnie skonstruowanych żądań POST.
  • interfejs webowy LuCI: kilka luk pozwalających nieuprzywilejowanemu użytkownikowi na wykonanie kodu z uprawnieniami roota.
  • ead-client (klient Emergency Access Daemon): przepełnienie bufora podczas przetwarzania specjalnie skonstruowanych fałszywych komunikatów od serwery.
  • kilkadziesiąt luk w OpenSSL i wolfSSL.

  Źródło: opennet.ru