Разработчики OpenWrt выпустили обновления, устраняющие критическую уязвимость в DHCPv6-сервере. Баг позволял неаутентифицированному атакующему добиться выполнения произвольного кода с правами root и потенциально полностью скомпрометировать уязвимый роутер.
Проблема получила идентификатор CVE-2026-53921 (9,8 балла по шкале CVSS) и связана с переполнением 512-байтового буфера в компоненте odhcpd, который обрабатывает DHCPv6-запросы и по умолчанию работает с привилегиями root.
Разработчики поясняют, что для атаки было достаточно отправить специально сформированный DHCPv6 REQUEST на порт UDP 547. В определенных условиях обработчик записывал данные за пределы выделенного буфера, и в результате атакующий получал возможность не только спровоцировать отказ самого сервиса, но и выполнить произвольный код на устройстве.
Отмечается, что эксплуатацию проблемы упрощала слабая защита многих роутеров. Дело в том, что в таких устройствах зачастую нет механизмов, которые мешают использовать переполнение буфера для выполнения произвольного кода, включая защиту стека и рандомизацию адресного пространства (ASLR). Поэтому специалисты считают полноценную RCE-атаку вполне реальной, и к бюллетеню безопасности приложены PoC-скрипты на Python для обоих вариантов эксплуатации.
Уязвимость затрагивает старые версии odhcpd с функциями dhcpv6_ia_handle_IAs() и build_ia(). Исправления вошли в OpenWrt версий 24.10.8 и 25.12.5. Пользователям ветки 24.10 рекомендуется обновиться до версии 24.10.8, а пользователям 25.12 — до 25.12.5. Готовые образы уже доступны в OpenWrt Firmware Selector.
Помимо уязвимости CVE-2026-53921 в версии 24.10.8 были устранены и другие проблемы в сетевых сервисах, включенных по умолчанию. Среди них — запись за границы буфера, use-after-free, утечки памяти, отказ в обслуживании, чтение данных за границами буфера в стеке и спуфинг прокси Neighbor Discovery. Кроме того, разработчики исправили три бага, которые позволяли осуществить HTTP request smuggling через uhttpd.
Также была исправлена проблема CVE-2026-62948 — инъекция имени хоста через DHCPv6, которая могла привести к хранимой XSS при открытии списка DHCP-аренды адресов в LuCI. Еще один баг, CVE-2026-62947, позволял читать доступные пользователю root файлы через path traversal в cgi-io, однако для его эксплуатации требовалась авторизация и соблюдение ряда условий.
Так как в настоящее время для OpenWrt 24.10 выходят только патчи безопасности, а в сентябре 2026 года поддержку этой ветки окончательно прекратят, разработчики рекомендуют пользователям переходить на OpenWrt 25.12.
