Die quelloffene Router-Firmware OpenWrt ist in neuen Versionen erschienen, die mehrere Sicherheitslücken schließen. Davon lassen sich einige aus dem Netz missbrauchen – und die befinden sich teils in Diensten, die standardmäßig aktiviert sind, erörtern die OpenWrt-Entwickler.
Das trifft laut Versionsankündigung das Release OpenWrt 24.10.8 vom Wochenende zu, aber auch OpenWrt 25.12.5 vom Anfang des Monats bringt die Softwareflicken mit. Der 24-er Entwicklungszweig erhält nur noch Sicherheitsupdates und keine neuen Funktionen mehr, dafür aber gleich eine ganze Reihe an Sicherheitskorrekturen. Am gravierendsten sticht eine Schwachstelle im DHCP-Server odhcpd hervor, der standardmäßig aktiv ist. Ein Pufferüberlauf auf dem Stack kann bei der Verarbeitung von DHCPv6-IA-Antworten auftreten.
Mit einem einzigen UDP-Paket können Angreifer aus dem Netz ohne vorherige Anmeldung den Pufferüberlauf ausnutzen. Wie die Entwickler in der Schwachstellenmeldung konkretisieren, macht das etwa oftmals fehlende Address Space Layout Randomization (ASLR) auf Embedded-Plattformen das Ausführen von eingeschleustem Code dadurch wahrscheinlicher (CVE-2026-53921, CVSS 9.8, Risiko „kritisch“). Eine weitere odhcpd-Lücke erlaubt DHCPv6-Clients ohne vorherige Authentifizierung, mit manipulierten FQDN-Hostnamen Zeilen in die Lease-Files zu schmuggeln, was in einer Stored-Cross-Site-Scripting-Lücke in der LuCI-DHCPv6-Leases-Statusseite führt (CVE-2026-62948, CVSS 9.6, Risiko „kritisch“).
