TP-Link Kasa kameraları 6 yıldır GPS konumunu kimliksiz UDP ile sızdırdı
TP-Link Kasa EC71 kamerasında altı yıldır bilinen bir protokol açığı GPS konumunu, ayrıca sabit RSA anahtarı ve MD5 parolaları ifşa ediyordu.
Güvenlik araştırmacısı BadChemical, TP-Link Kasa Spot EC71 kameranın 2.3.26 firmware'inde üç ayrı zafiyet zinciri tespit etti: SPI flash üzerinden çıkarılabilen, tüm cihaz filosunda ortak kullanılan sabit kodlu RSA özel anahtarı; kullanıcı parolalarının tuzsuz MD5 hash olarak saklanması; ve kimlik doğrulaması gerektirmeyen bir protokol üzerinden hassas GPS konum verisinin ifşası. GPS zafiyeti aslında 2016'dan beri bilinen bir protokol sınıfına dayanıyor ve TP-Link 2020'de aynı sorunu akıllı priz ürün ailesinde düzeltmişken kamera hattına bu düzeltmeyi hiç uygulamamıştı.
Sorumlu ifşa süreci altı ayı aşkın sürdü; beta firmware testi sırasında bir cihaz kalıcı olarak devre dışı kaldı ve donanım seviyesinde kurtarma gerekti. Ayrıca ikinci el pazarında satılan cihazlarda fabrika ayarlarına dönüş sonrası önceki sahibin kimlik bilgileri ve konum verisi geri getirilebiliyordu.
Sorunlar CVE-2026-9770 (RSA anahtarı ve kimlik bilgisi depolama, satıcı CVSS 8.6) ve CVE-2026-13230 (GPS ifşası) olarak kayıt altına alındı ve firmware 2.4.1 ile giderildi. Vaka, satıcıların kapsamlı bir mimari güvenlik incelemesi yerine noktasal, ürün bazlı yamalarla ilerlediğini gösteren tekrarlayan bir örnek olarak öne çıkıyor.