Своевременный выход обновлений безопасности в стабильной ветке

[cvefix]

18 июля 2026 вышло обновление 5.2 Alpha 1; в списке изменений:

Quote

HTTP: устранена уязвимость CVE-2026-42533 [NDM-4566]

22 июля 2026 это же исправление дошло до 5.1.2 (preview) (список обновлений только на support.keenetic.com, на форуме список изменений для 5.1.2 не опубликован до сих пор):

Quote

Mitigated the CVE-2026-42533 vulnerability for HTTP protocol. [NDM-4566]

В стабильной ветке на 24 июля 2026: 5.1.1; очевидно с уязвимостью.

 

Просматривая изменения для ветки 5.0 можно заметить, что в 5.0.6 (preview):

Quote

HTTP: устранена уязвимость CVE-2026-1642 в HTTP-прокси [NDM-4267]

в 5.0.7 (preview):

Quote

• Wi-Fi: устранены уязвимости [SYS-1542]
  • CVE-2014-3570
  • CVE-2022-4304

в 5.0.9 (preview):

Quote

HTTP: устранена уязвимость CVE-2026-28753 в службе веб-конфигуратора [NDM-4368]

и только с 5.0.10 (preview → stable) эти исправления дошли до пользователей стабильного канала.

 

Стабильная ветка ждёт исправлений уязвимостей неделю-две; при этом про эти уязвимости все знают, т.к. они светятся в списках изменений предварительных версий. Нельзя ли выпускать срочные обновления, содержащие только исправления безопасности сразу, вместо того чтобы ждать пока комплект новых фич/фиксов не связанных с уязвимостями стабилизируется?

Сокрытие исправлений безопасности из списков изменений предварительных версий не является решением: злоумышленники могут просто сравнить файлы текущего и предыдущего предварительного релиза, и поискать CVE для обновленных компонентов.

[cvefix]

5.2 Alpha 9 исправила по 9 уязвимостей в curl и libxml2.

Исправления для curl дошли до предварительной ветки 5.1.6 (libxml2 не дошли).

До стабильной ветки на 21 сентября не дошло ничего.

[gravy_train]

20 hours ago, cvefix said:

на форуме список изменений для 5.1.2 не опубликован до сих пор):

это не так:
 

Edited July 25 by gravy_train

[cvefix]

On 7/25/2026 at 2:17 PM, gravy_train said:

это не так

Я проверял список перед тем как открыть тему: на 24 июля 2026 не было там этого сообщения. Нотариально заверенных скриншотов у меня правда нет; Wayback Machine страницу форума тоже не архивировал.

[hoaxisr]

32 минуты назад, cvefix сказал:

на 24 июля 2026 не было там этого сообщения.

Это вполне объясняется тем, что пост на форуме модераторы создают заранее и скрывают его. А потом делают видимым, поэтому даты поста отличаются от реальной даты, когда его могут увидить форумчане.

[cvefix]

Подниму тему.

5.2 Alpha 5 (14 августа): 3 CVE для libwebsockets, 9 CVE для OpenVPN.

5.2 Alpha 6 (21 августа): 11 CVE для GnuTLS, 5 CVE для strongSwan.

В стабильной ветке 5.1.4 от 16 августа по состоянию на 30 августа 28 уязвимостей.

[cvefix]

5.2 Alpha 8 от 4 сентября 2026: устранена уязвимость CVE-2026-75803 в OpenSSL.

8 сентября в стабильной ветке появились исправления для GnuTLS и strongSwan, исправления для libwebsockets и OpenVPN из 5.2 Alpha 5 не появились до сих пор; свежего исправления для OpenSSL нет тем более.

[cvefix]

5.2 Alpha 11 от 25 сентября исправил CVE для OpenVPN и обновил доверенные сертификаты.

1 октября эти исправления дошли до предварительной ветки 5.1.7. Стабильная ветка сидит с известными уязвимостями ещё примерно неделю.

До стабильной ветки 5.1.6, 24 сентября дошли исправления для OpenSSL (20 дней после 5.2 Alpha 8) и исправления curl (13 дней после 5.2 Alpha 9).