Firmware-update - OpenWrt 25.12.6

In dit artikel:

OpenWrt 25.12.6 is verschenen als beveiligings- en onderhoudsupdate voor routers en andere ingebedde apparaten. De release bevat reparaties voor meerdere op afstand misbruikbare kwetsbaarheden in standaard ingeschakelde netwerkdiensten. OpenWrt-gebruikers wordt daarom aangeraden zo snel mogelijk bij te werken en ook geïnstalleerde optionele pakketten te actualiseren.

De belangrijkste beveiligingsverbeteringen betreffen uhttpd, de webserver die onder meer door LuCI wordt gebruikt. Daarin zijn problemen opgelost die konden leiden tot geheugenuitputting, geheugenbeschadiging, HTTP-request-smuggling en het omzeilen van toegangscontroles. Ook rpcd, de backend van LuCI, is aangepast. Beperkte LuCI-gebruikers konden daar onder bepaalde omstandigheden via symbolische links of sessiegegevens rootrechten verkrijgen. Daarnaast zijn kwetsbaarheden verholpen in cgi-io, verschillende LuCI-applicaties, hostapd en wpa_supplicant, umdns en de Emergency Access Daemon.

Verder zijn Linux bijgewerkt naar versie 6.12.112 en de cryptografische bibliotheken Mbed TLS, OpenSSL en wolfSSL naar respectievelijk 3.6.7, 3.5.9 en 5.9.4. Die updates bevatten talrijke upstream-beveiligingsreparaties. Ook optionele pakketten zoals curl, OpenSSH, Unbound, BIND, OpenVPN, strongSwan, HAProxy, Python, Node.js en rsync kregen nieuwe versies. Deze pakketten zitten niet standaard in de firmware; gebruikers moeten ze afzonderlijk bijwerken.

Een belangrijke wijziging betreft WPA3. OpenWrt bood in eerdere 25.12-versies standaard de opties GCMP-256 en SAE-EXT-KEY aan. Hoewel die functies onderdeel zijn van de WPA3-specificatie, bleken diverse apparaten verbindingsproblemen te hebben. Vanaf 25.12.6 worden ze daarom niet meer standaard aangeboden in WPA3-Personal en gemengde WPA2/WPA3-modus. De standaard gebruikt voortaan CCMP en gewone SAE. Voor oudere of incompatibele apparaten is er een nieuwe compatibiliteitsmodus waarbij WPA2-clients een regulier WPA2-netwerk zien en geschikte apparaten WPA3 kunnen gebruiken. GCMP-256 en SAE-EXT-KEY kunnen desgewenst handmatig worden ingeschakeld.

De DHCP-client heeft een nieuwe optie per netwerkinterface gekregen: sendclientid. Daarmee kan worden gekozen of een standaard-DUID, een hardwareadres of helemaal geen clientidentificatie wordt meegestuurd. De standaardinstelling blijft compatibel met de vorige 25.12-versie. Gebruikers van internetproviders waarvan de DHCP-server problemen heeft met de nieuwe identificatie kunnen terugkeren naar gedrag uit OpenWrt 24.10. Een gewijzigde identificatie kan wel een ander IPv4-adres of IPv6-prefix opleveren.

De release voegt ondersteuning toe voor nieuwe apparaten, waaronder Aruba AP-324/AP-325, diverse Cudy-, MediaTek-, JioRouter- en Keenetic-modellen, de TP-Link ER605 v1 en de FriendlyARM NanoPi R2S Plus. Ook zijn voor bestaande apparaten nieuwe imagevarianten toegevoegd. Talrijke hardwareproblemen zijn opgelost, waaronder defecte wifi- of leds, mislukte sysupgrades, bootproblemen, NAND- en PCIe-fouten, verkeerde geheugensnelheden en problemen met ethernet, USB en tijdsynchronisatie.

Verder zijn wifi-drivers en WPA-Enterprise verbeterd, is beacon protection standaard ingeschakeld op geschikte apparaten en werkt ondersteuning voor onder meer 6GHz-wifi, 60GHz-wifi en verschillende modemtypen beter. Ook zijn problemen met PPP-on-demand, L2TP-fragmentatie, mobiele verbindingen, uhttpd en mDNS aangepakt. De update kan worden geïnstalleerd via Attended Sysupgrade, met een passende voorgecompileerde firmware of door zelf een image te bouwen.