TP-Link Kasa-Kameras haben GPS-Daten des Zuhauses über unauthentifizierten UDP - für sechs Jahre - geleakt

Ein Sicherheitsforscher dokumentiert sechs Jahre lang unauthentifizierte UDP-Antworten von TP-Link Kasa EC71-Kameras, die auf Anfrage die GPS-Koordinaten des Geräts zurückgaben - ein klassisches IoT-Trust-Boundary-Versagen.

Der Fakt

Ein unabhängiger Forscher veröffentlichte einen technischen Bericht (BadChemical/IoT-Vulnerability-Research-Public), in dem dokumentiert wird, dass TP-Link Kasa EC71-Kameras auf nicht authentifizierte UDP-Pakete mit den GPS-Koordinaten des Geräts antworteten - eine Entdeckung, die die Offenlegung auf etwa sechs Jahre über die Produktlinie zurückdatiert.

Unsere Einschätzung

Die interessante Ebene ist nicht, dass eine Verbraucherkamera einen Fehler hatte. Es ist welcher Fehler: ein nicht authentifiziertes UDP-Endpoint, das den Standort zurückgibt, ist eine Art Designentscheidung, die nur überlebt, wenn niemand in der Lieferkette die Vertrauensgrenze besitzt. Sechs Jahre Firmware-Releases sind daran vorbeigegangen. Das ist das systemische Problem - der SDLC der Anbieter bei günstigen IoT-Geräten behandelt internetexponierte Dienste immer noch als Implementierungsdetail und nicht als Bedrohungsfläche.

Für jeden, der agentische Tools entwickelt, die mit Heimgeräten kommunizieren (eine schnell wachsende Kategorie), ist dies eine Erinnerung: Das als sicher geltende lokale Netzwerk ist tatsächlich nicht sicher. Wenn Ihr Agent LAN-Antworten so vertraut, wie TP-Link UDP-Anfragen vertraut hat, haben Sie die gleiche Art von Fehler in einer frischeren Verpackung.

Zu beobachten

TP-Links Patch-Rhythmus und, noch aussagekräftiger, ob es ältere EC71-Einheiten, die noch im Einsatz sind, nachträglich repariert. Auch: ob die FCC oder FTC dies aufgreifen - sechs Jahre ist die Art von Zeitrahmen, die nach dem CISA-Secure-by-Design-Schub regulatorische Aufmerksamkeit erregt.