Выпуск OpenWrt 25.12.6

Представлен выпуск дистрибутива OpenWrt 25.12.6, развиваемого для сетевых устройств, таких как маршрутизаторы, коммутаторы и точки доступа. OpenWrt поддерживает более 2200 устройств и предлагает систему сборки, упрощающую кросс-компиляцию и создание собственных сборок. Подобные сборки позволяют формировать готовые прошивки с желаемым набором предустановленных пакетов, оптимизированные под конкретные задачи. Готовые сборки опубликованы для 41 целевой платформы.

Среди изменений:

  • Добавлена поддержка устройств:
    • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
    • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
    • qualcommax (ipq50xx): CMCC MR3000D-CI.
    • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
    • ramips (mt76x8): Cudy LT500 Outdoor v1.
    • rockchip: FriendlyARM NanoPi R2S Plus.
  • Добавлены новые варианты сборок для ранее поддерживаемых устройств на чипах mediatek: Cudy M3000 v1/v2 и Cudy M3000 v2 — добавлены образы с U-Boot.
  • Внесены исправления, связанные с работой платформ:
    • ath79: GL.iNet GL-E750 (Mudi) V2.
    • bcm47xx: Gateworks Ventana, Traverse Ten64.
    • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
    • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i .
    • mvebu: Turris MOX.
    • qualcommax: ASUS RT-AX89X.
    • realtek: D-Link DGS-1210-28P/MP.
    • rockchip: NanoPi R3S (1 GB).
    • sunxi: NanoPi NEO 2.
  • Настройки WPA3 изменены для соответствия рекомендациям, указанным в спецификации WPA3:
    • По умолчанию отключена поддержка шифра GCMP-256 и алгоритма управления ключами SAE-EXT-KEY в режимах sae (WPA3-Personal) и sae-mixed (WPA2/WPA3).
    • При активном режиме защиты кадров (PMF / 802.11w) включён по умолчанию механизм Beacon Protection, предназначенный для защиты от активных атак на беспроводную сеть, манипулирующих изменением кадров Beacon.
    • Добавлен новый режим совместимости с WPA3-Personal — sae-compat, позволяющий клиентам WPA2 продолжать использовать сеть WPA2, но клиентов с поддержкой RSN (Robust Security Network) перебрасывающий на WPA3.
    • Добавлена опция transition_disable для запрета отката клиентов на старые режимы безопасности в сети с WPA3.
  • В пакете wifi-scripts возобновлена поддержка 802.11ad (60 GHz) и налажена работа опции multicast_to_unicast.
  • В DHCP-клиент добавлена опция «sendclientid» для переопределения идентификатора клиента DHCPv4 и DHCPv6.
  • В web-интерфейсе LuCI предложена новая опциональная тема оформления
    «luci-theme-footstrap». В тему «luci-mod-dashboard» добавлены интерактивные графики и возможность настройки расположения элементов. Добавлены новые приложения luci-app-librespeed и luci-app-weechat.

  • Обновлены версии ядра Linux 6.12.112 (было 6.12.94), OpenSSL 3.5.9,
    Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c и iwinfo.

  • Обновлены версии curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1,
    BIND 9.20.29,
    OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2
    1.70.0,
    libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17,
    PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2,
    xz 5.8.3 и rsync 3.5.1 с устранением уязвимостей.

  • Устранены удалённо эксплуатируемые уязвимости в сетевых сервисах, включённых по умолчанию:
    • uhttpd — переполнение буфера через манипуляцию с параметром в запросах «POST /ubus/call/», а также несколько DoS-уязвимостей и возможность вклинивания в чужие запросы.
    • 16 уязвимстей в Mbed TLS (используется по умолчанию в uhttpd, hostapd и wpa_supplicant), среди которых удалённое переполнение буфера, эксплуатируемое в конфигурациях (D)TLS с набором шифров ECDHE-PSK.
    • hostapd и wpa_supplicant — повреждение памяти при обработке специально оформленных управляющих кадров (атака возможна без аутентификации) в сетях WiFi 7.
    • rpcd — две уязвимости, приводящие к повышению привилегий из-за проблем при обработке символических ссылок и
      размещения токена привилегированного сеанса во временном каталоге.

    • cgi-io — обращение к памяти после освобождения при декодировании специально оформленных POST-запросов.
    • web-интерфейс LuCI: несколько уязвимостей, позволяющих непривилегированному пользователю выполнить код с правами root.
    • ead-client (Emergency Access Daemon client): переполнение буфера при обработке специально оформленных поддельных сообщений от сервера.
    • Несколько десятков уязвимостей в OpenSSL и wolfSSL.

    Источник: http://www.opennet.ru/opennews/art.shtml?num=66504