TP-Link Kasaカメラが6年間、認証なしUDPで自宅のGPSを漏洩
TP-Link Kasa cameras leaked home GPS via unauthenticated UDP for 6 years
TP-Link Kasa Spot EC71のセキュリティ分析により、認証なしのUDPパケットをポート9999に送信するだけで、正確なGPS座標やデバイス固有の識別子が取得できる脆弱性が明らかになりました。この問題は2016年から公知であり、2020年には同種のカメラでの報告がありましたが、TP-Linkはカメラ製品群への修正を怠り、2026年まで放置されていました。さらに、全デバイス共通のRSA秘密鍵や、ソルトなしMD5でのパスワード保存など、複数の重大な脆弱性も発見され、CVE-2026-9770およびCVE-2026-13230として修正されました。
このアドバイザリは、包括的なアーキテクチャのセキュリティレビューではなく、対象を絞った段階的な修正というパターンを記録しています。