注目★★★★★Hacker News
TP-Link Kasa カメラが 6 年間、自宅 GPS を認証なし UDP で漏らしていた
30秒で把握
- 1Kasa Spot EC71 が認証なし UDP で GPS・デバイス ID を 6 年間公開、ファームウェア 2.4.1 で修正
- 2TP-Link は 2020 年にスマートプラグで同じ脆弱性を修正したが、カメラ製品には 4 年放置・対応遅延
- 3ユーザーは即ファームウェア更新・TP-Link ID パスワード変更・他製品との ID 共通化確認を実施
要約
TP-Link の Kasa Spot EC71 インドア カメラに、自宅の GPS 座標を認証なしで漏らす脆弱性が 6 年間存在していた。単一の UDP パケットをポート 9999 に送信するだけで、認証なしで GPS 座標・デバイス ID・ファームウェア版などが平文で返される。脆弱性は 2016 年 7 月から公知であり、TP-Link は 2020 年 11 月にスマートプラグで同じ脆弱性を修正しながら、カメラ製品には 4 年間放置していた。
あなたへの影響
TP-Link Kasa カメラを自宅の監視・ペット見守りに使うチームは、ファームウェア 2.4.1 への即座な更新を推奨する。
推奨：また、同社の Tapo スマートロック・Deco メッシュなど TP-Link ID 認証の他製品も同じ ID で使用している場合、本件で露出したメールアドレスと MD5 ハッシュの組み合わせがレインボーテーブルで解析されやすいため、TP-Link ID パスワードの変更も検討すべき。