OpenWrt 25.12.625.10.2026 21:27

Исправления уязвимостей:

• uhttpd (веб-сервер, по умолчанию используется с LuCI): обновлён; исправлено шесть уязвимостей, доступных без аутентификации:

  • CVE-2026–102338 (высокая): отказ в обслуживании из-за исчерпания памяти при неограниченном числе HTTP-заголовков. GHSA-vhx4–3p5q-m59q.
  • Высокая: выход за границы буфера при обработке поля params неверного типа в POST /ubus/call/. GHSA-2mpg-6wp5–435p.
  • Высокая: неограниченный рост памяти из-за утечки URL-пути при каждом запросе к /ubus/, кроме POST. GHSA-83vv-qrc6-h3hx.
  • Средняя: HTTP request smuggling (CL.0) из-за повторного использования keep-alive-соединения с непрочитанным телом запроса. GHSA-c2wg-hcff-hqrm.
  • Средняя: утечка ссылки на клиента в /ubus/subscribe/, способная навсегда заблокировать обработчик. GHSA-wvgh-cm54-q6f6.
  • Высокая: обход Basic Auth для Lua- и ucode-обработчиков внутри URL-префикса с настроенной Basic Auth. Актуально только при использовании Basic Auth в uhttpd. GHSA-5cgm-8h9x-v28c.

• Mbed TLS (TLS-библиотека по умолчанию): обновлён до 3.6.7. Исправлены многочисленные уязвимости, включая удалённое переполнение буфера в (D)TLS при использовании ECDHE-PSK. CVE-2026–25832, CVE-2026–35336, CVE-2026–49300, CVE-2026–50579, CVE-2026–50580, CVE-2026–50581, CVE-2026–50583, CVE-2026–50584, CVE-2026–50585, CVE-2026–50586, CVE-2026–50587, CVE-2026–50588, CVE-2026–50640, CVE-2026–50713, CVE-2026–54435, CVE-2026–54441. Используется, в частности, для HTTPS в uhttpd, а также в hostapd и wpa_supplicant.

• hostapd / wpa_supplicant (Wi-Fi):

  • Исправлены ошибки проверки данных Multi-Link Operation (MLO, Wi-Fi 7 / IEEE 802.11be) из бюллетеня безопасности hostapd 2026–1. Некорректные кадры управления без аутентификации могли вызвать сбой или небольшое повреждение памяти. В режиме точки доступа уязвимы только устройства с поддержкой Wi-Fi 7; в режиме клиента затронут wpa_supplicant в целом.
  • Средняя (CVSS 6.5): разыменование нулевого указателя при обработке маяков APuP. Атакующий поблизости мог вызвать сбой hostapd, отправляя маяки от множества поддельных BSSID. Актуально только при включённой опции apup (по умолчанию отключена). GHSA-78g5–4g76-r6jh.
  • В сборках с Mbed TLS исправлена проверка сертификата EAP-сервера check_cert_subject: чтение неинициализированной памяти могло привести к принятию сертификата, субъект которого совпадал с ожидаемым только по префиксу.

• rpcd (серверная часть LuCI, по умолчанию используется с LuCI): исправлены две уязвимости повышения привилегий, актуальные только при наличии дополнительных пользователей LuCI с делегированными правами:

  • Высокая (CVSS 8.4): следование по символическим ссылкам при файловых операциях позволяло читать и изменять любые файлы root, включая /etc/shadow, через ссылки в каталогах, доступных по ACL пользователя. GHSA-q5gr-86pq-vvwr.
  • Высокая (CVSS 7.0): использование токена сессии как имени временного каталога UCI позволяло ограниченному пользователю получить токен привилегированной сессии и выполнять команды от имени root. GHSA-r2w2-q7cw-cfp2.

• cgi-io (по умолчанию используется с LuCI): средняя (CVSS 4.3) — исправлен use-after-free при декодировании некорректных POST-данных с процентным кодированием. GHSA-wvhq-qmwj-grj2.

• Приложения LuCI и пакеты: исправлены уязвимости, позволявшие пользователям с ограниченными делегированными правами выполнять команды от имени root или сохранять XSS-нагрузки. Актуальны только при наличии соответствующего приложения и учётной записи с нужными правами:

  • ser2net / luci-app-ser2net (критическая, CVSS 9.9): символ новой строки в параметре UCI позволял добавить подключение ser2net для выполнения команд от имени root. GHSA-w6q2-vr4f-49×3.
  • luci-app-lxc: обход ACL и выход за пределы каталога позволяли пользователям без разрешения LXC получить права root на хосте.
  • luci-app-ddns / ddns-scripts: пользователи с делегированными правами DDNS могли выполнять команды от имени root через формат даты и другие параметры, передававшиеся оболочке без экранирования.
  • luci-app-nut: пользователи с делегированными правами могли задавать команды уведомлений NUT, выполняемые от имени root. Изменение этих настроек теперь доступно только администратору.
  • luci-app-adblock-fast (средняя, CVSS 5.4): сохранённая XSS через имена списков блокировки на странице состояния. GHSA-q335–4c83-c88h.
  • luci-app-https-dns-proxy (средняя, CVSS 4.5): сохранённая XSS через URL резолвера на странице состояния. GHSA-c6vf-395q-4jv6.
  • luci-base: экранирование URL-пути и имени пользователя при записи в журнал предотвращает внедрение текста через специально сформированные запросы входа.

• umdns (служба mDNS, необязательный пакет): исправлены две уязвимости чтения за пределами буфера, доступные любому узлу локальной сети через специально сформированные mDNS-пакеты:

  • Средняя (CVSS 5.4): выход за границы буфера в dns_query(). GHSA-j2f2–273j-r86h.
  • Средняя (CVSS 4.3): чтение неинициализированного байта и выход за границы буфера при обработке кэшированных TXT-записей. GHSA-fc92-h6gc-rjjx.

• ead-client (клиент Emergency Access Daemon): низкая — исправлены выходы за границы буфера при обработке поддельных ответов сервера. ead-client отсутствует в образах OpenWrt; в них входит только демон. GHSA-mq4v-mf82–24rr, GHSA-8f8g-5c8x-8mhh.

• Ядро Linux: обновлено до 6.12.112; включены исправления стабильных выпусков 6.12.95–6.12.112.

• OpenSSL: обновлён до 3.5.9. Исправлены многочисленные уязвимости: CVE-2026–14456, CVE-2026–14457, CVE-2026–18798, CVE-2026–35189, CVE-2026–35191, CVE-2026–42772, CVE-2026–54872, CVE-2026–54873, CVE-2026–54874, CVE-2026–54875, CVE-2026–63072, CVE-2026–63073, CVE-2026–63074, CVE-2026–63075, CVE-2026–63076, CVE-2026–72897, CVE-2026–75803, CVE-2026–75804, CVE-2026–75805, CVE-2026–75806, CVE-2026–77696, CVE-2026–84782, CVE-2026–84784. Также исправлена ошибка специфичного для OpenWrt патча AES-GCM-SIV, позволявшая принимать поддельные теги аутентификации для сообщений нулевой длины.

• wolfSSL: обновлён до 5.9.4. Исправлены многочисленные уязвимости: CVE-2026–6091, CVE-2026–6092, CVE-2026–6094, CVE-2026–6291, CVE-2026–6325, CVE-2026–6329, CVE-2026–6330, CVE-2026–6331, CVE-2026–6412, CVE-2026–6450, CVE-2026–6678, CVE-2026–6679, CVE-2026–6681, CVE-2026–6731, CVE-2026–7511, CVE-2026–7531, CVE-2026–7532, CVE-2026–8720, CVE-2026–10097, CVE-2026–10098, CVE-2026–10512, CVE-2026–10592, CVE-2026–11310, CVE-2026–11703, CVE-2026–11999, CVE-2026–12340, CVE-2026–55958, CVE-2026–55960, CVE-2026–55961, CVE-2026–55962, CVE-2026–55964, CVE-2026–55967 и другие.

Также исправлен ряд других уязвимостей без CVE и отдельных бюллетеней безопасности. Обновлены многочисленные пакеты из репозитория packages и добавлена поддержка ряда устройств (подробнее на opennet.ru).