OpenWrt 25.12.6 배포…웹 관리 서비스·와이파이 취약점 수정

OpenWrt가 공식 릴리스 공지를 통해 안정판 25.12.6을 배포하고 업그레이드를 강하게 권고했다. 웹 관리 서비스와 와이파이 구성요소의 취약점을 수정했으며, 일부 문제는 인증 없이 서비스를 중단시킬 수 있다.

한국시간 19일 게시된 OpenWrt 개발팀의 공식 공지에 따르면 이번 버전은 25.12 계열의 여섯 번째 서비스 릴리스다. LuCI 웹 관리 화면과 함께 기본 활성화되는 uhttpd를 비롯해 무선 연결, 권한 관리, 암호화 라이브러리의 보안 문제를 함께 손봤다.

uhttpd에서는 HTTP 요청 헤더의 수와 누적 크기에 제한이 없어 메모리를 소진시키는 서비스 거부 취약점(CVE-2026-102338)을 수정했다. OpenWrt 공식 저장소의 보안 권고에는 로컬 네트워크에서 인증 없이 요청을 보내 웹 관리 기능을 응답 불능 상태로 만든 실험 결과가 담겼다. 관리 서비스에 접근할 수 있는 네트워크 범위에 따라 노출 조건이 달라지므로, 모든 공유기가 인터넷에서 곧바로 공격받는다는 의미는 아니다.

별도의 uhttpd 권고는 JSON-RPC 요청의 매개변수 형식을 잘못 처리해 메모리 범위를 벗어나는 쓰기가 발생하는 문제를 설명한다. 보고자는 인증 없는 요청으로 웹 서버가 종료되는 현상을 재현했다. 다만 임의 코드 실행까지 입증한 것은 아니라고 명시했다.

와이파이 구성요소인 hostapd와 wpa_supplicant에는 멀티링크 정보 처리 과정의 검증 누락 수정이 반영됐다. 개발자 보안 권고에 따르면 잘못된 관리 프레임을 수신할 때 프로세스 종료나 메모리 손상이 발생할 수 있다. hostapd의 액세스포인트 모드는 와이파이 7 기능을 켠 빌드가 대상이며, 클라이언트 모드의 wpa_supplicant는 와이파이 7 지원 여부만으로 영향 범위를 한정할 수 없다.

LuCI 백엔드인 rpcd에서는 제한된 권한을 가진 추가 사용자 계정과 관련된 권한 상승 문제도 수정했다. 리눅스 커널은 6.12.112, 기본 TLS 라이브러리인 Mbed TLS는 3.6.7로 업데이트됐다. OpenWrt 개발팀은 펌웨어 업그레이드와 함께 설치된 선택 패키지의 업데이트도 적용하라고 권고했다.

보안 수정 외에 WPA3 연결 호환성을 위한 기본 설정 변경도 포함됐다. WPA3-Personal과 WPA2/WPA3 혼합 모드에서는 GCMP-256과 SAE-EXT-KEY를 기본으로 제안하지 않도록 바꿨다. 일부 단말의 연결 문제를 줄이려는 조치이며, 필요한 경우 별도 설정으로 사용할 수 있다.

새 펌웨어는 OpenWrt 공식 Firmware Selector와 다운로드 서버에서 받을 수 있다. 업그레이드 전에는 기종별 주의사항도 확인해야 한다. 특히 NAND 플래시를 쓰는 bcm53xx 기기는 이번 버전으로 올리는 과정에서 기존 설정이 한 차례 더 사라질 수 있어, 개발팀은 설정을 백업한 뒤 복원하라고 안내했다.

출처: OpenWrt 개발팀 공식 릴리스 공지 https://forum.openwrt.org/t/openwrt-25-12-6-service-release/254604 · OpenWrt uhttpd 공식 보안 권고(CVE-2026-102338) https://github.com/openwrt/uhttpd/security/advisories/GHSA-vhx4-3p5q-m59q · OpenWrt uhttpd 공식 보안 권고(매개변수 형식 검증) https://github.com/openwrt/uhttpd/security/advisories/GHSA-2mpg-6wp5-435p · hostapd·wpa_supplicant 개발자 보안 권고 https://w1.fi/security/2026-1/missing-ml-parsing-validation.txt