TP-Link Kasa カメラが6年間にわたり、認証されていないUDP経由でホームGPSをリークしていた

脆弱性研究者が、TP-Link Kasa EC71カメラから6年にわたり認証なしでUDP応答を受信し、リクエストに応じてデバイスのGPS座標が返されたことを文書化した。これは典型的なIoTの信頼境界の失敗例である。

事実

独立系研究者が技術文書（BadChemical/IoT-Vulnerability-Research-Public）を発表し、TP-Link Kasa EC71カメラが認証されていないUDPパケットに対してデバイスのGPS座標で応答することを文書化した。この露出は製品ライン全体で約6年前に遡ることが判明した。

当社の見解

興味深い点は、消費者向けカメラにバグがあったことではない。そのバグの「種類」だ。認証されていないUDPエンドポイントがジオロケーションを返すという設計上の判断は、ベンダーチェーン内で信頼境界を所有する者が誰もいなかった場合にのみ存続する。6年にわたるファームウェアリリースがこのバグを見過ごした。それがシステミックな問題だ――安価なIoTにおけるベンダーのSDLCは、インターネットに露出したサービスを脅威面ではなく実装の詳細として扱っている。

ホームデバイスと通信するエージェントツール（急成長中のカテゴリ）を構築する人にとって、これは警鐘となる：想定されていた安全なローカルネットワークは実際には安全ではない。TP-LinkがUDPリクエストを信頼していたように、エージェントがLAN応答を信頼する場合、あなたは新しいラッパーに包まれた同じクラスのバグを抱えていることになる。

要注目

TP-Linkのパッチリリースペース、そしてより重要なことに、フィールドでまだ稼働中の古いEC71ユニットに対するリトロフィックスの有無。また：FCCやFTCがこの問題を取り上げるかどうか――6年はCISAのセキュア・バイ・デザイン推進後のタイミングで規制当局の注目を集めるのに十分な期間だ。