Apresentada a versão 25.12.6 da distribuição OpenWrt, desenvolvida para dispositivos de rede, como roteadores, switches e pontos de acesso. O OpenWrt suporta mais de 2200 dispositivos e oferece um sistema de construção que facilita a cross-compilação e a criação de builds personalizados. Esses builds permitem gerar firmwares prontos com o conjunto desejado de pacotes pré-instalados, otimizados para tarefas específicas. Builds prontos estão publicados para 41 plataformas-alvo.
Entre as alterações:
- Suporte a dispositivos adicionado:
- ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
- mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
- qualcommax (ipq50xx): CMCC MR3000D-CI.
- ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
- ramips (mt76x8): Cudy LT500 Outdoor v1.
- rockchip: FriendlyARM NanoPi R2S Plus.
- Novas opções de builds foram adicionadas para dispositivos anteriormente suportados com chipsets mediatek: Cudy M3000 v1/v2 e Cudy M3000 v2 — imagens com U-Boot foram adicionadas.
- Correções relacionadas ao funcionamento de plataformas:
- ath79: GL.iNet GL-E750 (Mudi) V2.
- bcm47xx: Gateworks Ventana, Traverse Ten64.
- mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
- mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i.
- mvebu: Turris MOX.
- qualcommax: ASUS RT-AX89X.
- realtek: D-Link DGS-1210-28P/MP.
- rockchip: NanoPi R3S (1 GB).
- sunxi: NanoPi NEO 2.
- As configurações do WPA3 foram alteradas para atender às recomendações especificadas na especificação WPA3:
- O suporte ao cifrador GCMP-256 e ao algoritmo de controle de chaves SAE-EXT-KEY está desativado por padrão nos modos sae (WPA3-Pessoal) e sae-mixed (WPA2/WPA3).
- No modo de proteção de quadros ativo (PMF / 802.11w), o mecanismo de Proteção de Beacon está ativado por padrão, destinado a proteger contra ataques ativos à rede sem fio que manipulam a alteração dos quadros Beacon.
- Um novo modo de compatibilidade com WPA3-Pessoal — sae-compat foi adicionado, permitindo que clientes WPA2 continuem usando a rede WPA2, mas redirecionando clientes com suporte a RSN (Robust Security Network) para WPA3.
- Uma opção transition_disable foi adicionada para impedir que clientes regridem para modos de segurança mais antigos em uma rede com WPA3.
- No pacote wifi-scripts, o suporte ao 802.11ad (60 GHz) foi retomado e a funcionalidade da opção multicast_to_unicast foi estabelecida.
- No cliente DHCP, foi adicionada a opção 'sendclientid' para sobrescrever o identificador do cliente DHCPv4 e DHCPv6.
- Na interface web LuCI, um novo tema opcional foi oferecido
'luci-theme-footstrap'. No tema 'luci-mod-dashboard', gráficos interativos e a capacidade de personalizar a disposição dos elementos foram adicionados. Novos aplicativos luci-app-librespeed e luci-app-weechat foram incluídos. - As atualizações das versões do núcleo Linux 6.12.112 (era 6.12.94), OpenSSL 3.5.9,
Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c e iwinfo. - As versões do curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
BIND 9.20.29,
OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
1.70.0,
libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
xz 5.8.3 e rsync 3.5.1 com remediações de vulnerabilidades. - Explorações de vulnerabilidades removidas em serviços de rede habilitados por padrão:
- uhttpd — estouro de buffer através da manipulação de parâmetros em requisições "POST /ubus/call/", além de várias vulnerabilidades de DoS e possibilidade de inserção em requisições de terceiros.
- 16 vulnerabilidades no Mbed TLS (usado por padrão no uhttpd, hostapd e wpa_supplicant), incluindo um estouro de buffer remoto, explorável em configurações (D)TLS com o conjunto de cifras ECDHE-PSK.
- hostapd e wpa_supplicant — corrupção de memória ao processar quadros de controle especialmente elaborados (a ataque é possível sem autenticação) em redes WiFi 7.
- rpcd — duas vulnerabilidades levando a elevação de privilégios devido a problemas ao processar links simbólicos e
a colocação do token de sessão privilegiada no diretório temporário. - cgi-io — acesso à memória após liberação ao decodificar requisições POST especialmente elaboradas.
- interface web LuCI: várias vulnerabilidades que permitem que um usuário sem privilégios execute código com direitos de root.
- ead-client (Emergency Access Daemon client): estouro de buffer ao processar mensagens falsas especialmente elaboradas de servidor.
- várias dezenas de vulnerabilidades no OpenSSL e wolfSSL.
Fonte: opennet.ru
