Камеры TP-Link Kasa утекали GPS-данные домов через неаутентифицированный UDP в течение шести лет

Исследователь уязвимостей задокументировал шестилетнюю историю неаутентифицированных ответов по протоколу UDP от камер TP-Link Kasa EC71, которые при запросе возвращали GPS-координаты устройства — классический пример нарушения границ доверия в IoT.

Факт

Независимый исследователь опубликовал техническую документацию (BadChemical/IoT-Vulnerability-Research-Public), в которой задокументировал, что камеры TP-Link Kasa EC71 отвечали на неаутентифицированные UDP-пакеты с географическими координатами устройства — обнаружение, датирующее уязвимость примерно шестью годами на всей линейке продуктов.

Наше мнение

Интересный момент не в том, что у потребительской камеры была ошибка. А в какой именно ошибке: неаутентифицированная UDP-эндпоинт, возвращающая геолокацию, — это тот тип проектных решений, который выживает только тогда, когда никто в цепочке поставщика не отвечает за границы доверия. Шесть лет выпусков прошивок прошло мимо него. Это системная проблема — SDLC поставщика дешёвых IoT-устройств до сих пор рассматривает интернет-экспонированные сервисы как деталь реализации, а не как поверхность угрозы.

Для всех, кто разрабатывает агентные инструменты, взаимодействующие с домашними устройствами (быстрорастущая категория), это напоминание: предполагаемая безопасная локальная сеть на самом деле небезопасна. Если ваш агент доверяет ответам локальной сети так, как TP-Link доверял UDP-запросам, у вас та же самая ошибка в новом обличье.

К CONTROLER

À surveiller[/ENCADRE]

TP-Link's patch cadence and, more telling, whether it retro-fixes older EC71 units still in the field. Also: whether the FCC or FTC pick this up - six years is the kind of timeline that draws regulatory attention post-CISA-secure-by-design push.[/ENCADRE]