OpenWrt 25.12.6

Исправления уязвимостей:

• uhttpd (веб-сервер, по умолчанию используется с LuCI): обновлён; исправлено шесть уязвимостей, доступных без аутентификации:

  • CVE-2026-102338 (высокая): отказ в обслуживании из-за исчерпания памяти при неограниченном числе HTTP-заголовков. GHSA-vhx4-3p5q-m59q.
  • Высокая: выход за границы буфера при обработке поля params неверного типа в POST /ubus/call/. GHSA-2mpg-6wp5-435p.
  • Высокая: неограниченный рост памяти из-за утечки URL-пути при каждом запросе к /ubus/, кроме POST. GHSA-83vv-qrc6-h3hx.
  • Средняя: HTTP request smuggling (CL.0) из-за повторного использования keep-alive-соединения с непрочитанным телом запроса. GHSA-c2wg-hcff-hqrm.
  • Средняя: утечка ссылки на клиента в /ubus/subscribe/, способная навсегда заблокировать обработчик. GHSA-wvgh-cm54-q6f6.
  • Высокая: обход Basic Auth для Lua- и ucode-обработчиков внутри URL-префикса с настроенной Basic Auth. Актуально только при использовании Basic Auth в uhttpd. GHSA-5cgm-8h9x-v28c.

• Mbed TLS (TLS-библиотека по умолчанию): обновлён до 3.6.7. Исправлены многочисленные уязвимости, включая удалённое переполнение буфера в (D)TLS при использовании ECDHE-PSK. CVE-2026-25832, CVE-2026-35336, CVE-2026-49300, CVE-2026-50579, CVE-2026-50580, CVE-2026-50581, CVE-2026-50583, CVE-2026-50584, CVE-2026-50585, CVE-2026-50586, CVE-2026-50587, CVE-2026-50588, CVE-2026-50640, CVE-2026-50713, CVE-2026-54435, CVE-2026-54441. Используется, в частности, для HTTPS в uhttpd, а также в hostapd и wpa_supplicant.

• hostapd / wpa_supplicant (Wi-Fi):

  • Исправлены ошибки проверки данных Multi-Link Operation (MLO, Wi-Fi 7 / IEEE 802.11be) из бюллетеня безопасности hostapd 2026-1. Некорректные кадры управления без аутентификации могли вызвать сбой или небольшое повреждение памяти. В режиме точки доступа уязвимы только устройства с поддержкой Wi-Fi 7; в режиме клиента затронут wpa_supplicant в целом.
  • Средняя (CVSS 6.5): разыменование нулевого указателя при обработке маяков APuP. Атакующий поблизости мог вызвать сбой hostapd, отправляя маяки от множества поддельных BSSID. Актуально только при включённой опции apup (по умолчанию отключена). GHSA-78g5-4g76-r6jh.
  • В сборках с Mbed TLS исправлена проверка сертификата EAP-сервера check_cert_subject: чтение неинициализированной памяти могло привести к принятию сертификата, субъект которого совпадал с ожидаемым только по префиксу.

• rpcd (серверная часть LuCI, по умолчанию используется с LuCI): исправлены две уязвимости повышения привилегий, актуальные только при наличии дополнительных пользователей LuCI с делегированными правами:

  • Высокая (CVSS 8.4): следование по символическим ссылкам при файловых операциях позволяло читать и изменять любые файлы root, включая /etc/shadow, через ссылки в каталогах, доступных по ACL пользователя. GHSA-q5gr-86pq-vvwr.
  • Высокая (CVSS 7.0): использование токена сессии как имени временного каталога UCI позволяло ограниченному пользователю получить токен привилегированной сессии и выполнять команды от имени root. GHSA-r2w2-q7cw-cfp2.

• cgi-io (по умолчанию используется с LuCI): средняя (CVSS 4.3) — исправлен use-after-free при декодировании некорректных POST-данных с процентным кодированием. GHSA-wvhq-qmwj-grj2.

• Приложения LuCI и пакеты: исправлены уязвимости, позволявшие пользователям с ограниченными делегированными правами выполнять команды от имени root или сохранять XSS-нагрузки. Актуальны только при наличии соответствующего приложения и учётной записи с нужными правами:

  • ser2net / luci-app-ser2net (критическая, CVSS 9.9): символ новой строки в параметре UCI позволял добавить подключение ser2net для выполнения команд от имени root. GHSA-w6q2-vr4f-49x3.
  • luci-app-lxc: обход ACL и выход за пределы каталога позволяли пользователям без разрешения LXC получить права root на хосте.
  • luci-app-ddns / ddns-scripts: пользователи с делегированными правами DDNS могли выполнять команды от имени root через формат даты и другие параметры, передававшиеся оболочке без экранирования.
  • luci-app-nut: пользователи с делегированными правами могли задавать команды уведомлений NUT, выполняемые от имени root. Изменение этих настроек теперь доступно только администратору.
  • luci-app-adblock-fast (средняя, CVSS 5.4): сохранённая XSS через имена списков блокировки на странице состояния. GHSA-q335-4c83-c88h.
  • luci-app-https-dns-proxy (средняя, CVSS 4.5): сохранённая XSS через URL резолвера на странице состояния. GHSA-c6vf-395q-4jv6.
  • luci-base: экранирование URL-пути и имени пользователя при записи в журнал предотвращает внедрение текста через специально сформированные запросы входа.

• umdns (служба mDNS, необязательный пакет): исправлены две уязвимости чтения за пределами буфера, доступные любому узлу локальной сети через специально сформированные mDNS-пакеты:

  • Средняя (CVSS 5.4): выход за границы буфера в dns_query(). GHSA-j2f2-273j-r86h.
  • Средняя (CVSS 4.3): чтение неинициализированного байта и выход за границы буфера при обработке кэшированных TXT-записей. GHSA-fc92-h6gc-rjjx.

• ead-client (клиент Emergency Access Daemon): низкая — исправлены выходы за границы буфера при обработке поддельных ответов сервера. ead-client отсутствует в образах OpenWrt; в них входит только демон. GHSA-mq4v-mf82-24rr, GHSA-8f8g-5c8x-8mhh.

• Ядро Linux: обновлено до 6.12.112; включены исправления стабильных выпусков 6.12.95–6.12.112.

• OpenSSL: обновлён до 3.5.9. Исправлены многочисленные уязвимости: CVE-2026-14456, CVE-2026-14457, CVE-2026-18798, CVE-2026-35189, CVE-2026-35191, CVE-2026-42772, CVE-2026-54872, CVE-2026-54873, CVE-2026-54874, CVE-2026-54875, CVE-2026-63072, CVE-2026-63073, CVE-2026-63074, CVE-2026-63075, CVE-2026-63076, CVE-2026-72897, CVE-2026-75803, CVE-2026-75804, CVE-2026-75805, CVE-2026-75806, CVE-2026-77696, CVE-2026-84782, CVE-2026-84784. Также исправлена ошибка специфичного для OpenWrt патча AES-GCM-SIV, позволявшая принимать поддельные теги аутентификации для сообщений нулевой длины.

• wolfSSL: обновлён до 5.9.4. Исправлены многочисленные уязвимости: CVE-2026-6091, CVE-2026-6092, CVE-2026-6094, CVE-2026-6291, CVE-2026-6325, CVE-2026-6329, CVE-2026-6330, CVE-2026-6331, CVE-2026-6412, CVE-2026-6450, CVE-2026-6678, CVE-2026-6679, CVE-2026-6681, CVE-2026-6731, CVE-2026-7511, CVE-2026-7531, CVE-2026-7532, CVE-2026-8720, CVE-2026-10097, CVE-2026-10098, CVE-2026-10512, CVE-2026-10592, CVE-2026-11310, CVE-2026-11703, CVE-2026-11999, CVE-2026-12340, CVE-2026-55958, CVE-2026-55960, CVE-2026-55961, CVE-2026-55962, CVE-2026-55964, CVE-2026-55967 и другие.

Также исправлен ряд других уязвимостей без CVE и отдельных бюллетеней безопасности. Обновлены многочисленные пакеты из репозитория packages и добавлена поддержка ряда устройств (подробнее на opennet.ru).