TP-Link Kasa EC71: Kameras haben die Heimgeolokalisierung über nicht authentifizierten UDP für sechs Jahre ausgesetzt

Ein unabhängiger Forscher veröffentlicht die Analyse einer Kasa-Kamera, die seit 2019 auf nicht signierte UDP-Anfragen reagierte und die GPS-Koordinaten des Zuhauses preisgab. Eine Klasse von Fehlern, die eigentlich verschwunden sein sollte.

Fakten

Ein öffentlicher GitHub-Repository (BadChemical/IoT-Vulnerability-Research-Public), der auf Hacker News weitergeleitet wurde, dokumentiert eine Schwachstelle, die die TP-Link-Kamera Kasa EC71 betrifft, eine öffentliche Wi-Fi-Innenkamera.

Das dokumentierte Verhalten:

• Die Kamera hört auf einem lokalen UDP-Port ohne Authentifizierung
• Eine gefälschte Anfrage (crafted UDP-Paket) löst eine Antwort aus, die GPS-Koordinaten enthält, die in der Kamera gespeichert sind (wahrscheinlich von der mobilen App bei der anfänglichen Verbindung - der Bericht detailliert nicht genau die Quelle dieser Koordinaten, aber die Größenordnung der Genauigkeit und der Kontext deuten auf diese Herkunft hin)
• Keine Quellenbegrenzung: Wenn das UDP-Paket die Kamera erreichen kann (lokales Netzwerk oder externes Netzwerk, wenn das Gerät exponiert ist), wird die Information freigegeben

Auswirkung: Geolokalisierung des Zuhauses jedes Nutzers der betroffenen Kamera, mindestens im LAN ausnutzbar, über das Internet ausnutzbar, wenn der Port geöffnet ist (schlechte NAT-Konfiguration, aggressives UPnP, schlecht segmentierte Gästefunknetze).

Dauer der Exposition: Laut dem Bericht ist die Funktion seit dem anfänglichen Firmware vorhanden, also etwa sechs Jahre.

Analyse

Dieser Typ von Fehler fällt in die Kategorie CWE-306 (Fehlende Authentifizierung für kritische Funktionen) - ein Klassiker im öffentlichen IoT, aber der hat im Jahr 2026 keine Entschuldigung mehr. Zwei Designfehler summieren sich:

1. Auf Klartext auf UDP lokal zu hören ist akzeptabel für Service Discovery (mDNS, SSDP), nicht aber, um sensible Daten zurückzusenden.
2. Speicherung einer genauen Geolokalisierung im Firmware eines verbundenen Objekts ohne offensichtlichen funktionalen Bedarf (eine Kamera weiß, dass sie bei Ihnen zu Hause ist, sie braucht keine GPS-Koordinaten) ist ein Designfehler im Sinne der DSGVO: Minimierung der Daten wird nicht eingehalten.

Der Bericht gibt keine zugewiesene CVE bis zum heutigen Tag in den öffentlichen Auszügen an - zu beobachten bei den TP-Link Advisories und bei NVD. Der Verkäufer wurde möglicherweise benachrichtigt; der Zustand des Patches ist zum Zeitpunkt des Schreibens nicht bestätigt.

Wer ist betroffen

• Besitzer von Kameras TP-Link Kasa EC71, potenziell andere Kasa-Modelle, die das gleiche Basis-Firmware teilen (vom Forscher zu bestätigen)
• Angreifer im selben Wi-Fi-Netzwerk (schlecht isolierter Gast, Hotel, WG, Gebäude mit gemeinsamem Wi-Fi): triviale Ausnutzung
• Internet-Angreifer: nur wenn der betreffende UDP-Port von außen erreichbar ist (schlechte NAT/UPnP-Konfiguration)

In der Praxis ist die am stärksten exponierte Person diejenige, die ihre Kamera zu Hause verwendet und ihr Wi-Fi teilt (WG, Airbnb, geteiltes Büro). Das missbräuchliche Szenario: Ein Gast erhält die GPS-Koordinaten von seinem Telefon, indem er einige UDP-Pakete sendet.

Was tun (Sofortmaßnahmen)

Handlungsrahmen sofortige Maßnahmen:

1. Modell der Kameras Kasa überprüfen: Kasa EC71 oder Varianten desselben Firmware. Das Modellschild befindet sich auf der Rückseite oder unter der Kamera.
2. Firmware aktualisieren über die Kasa Smart-App: Menü → Geräteeinstellungen → Firmware-Aktualisierung. Wenn ein Patch existiert (bei TP-Link zu überprüfen), diesen anwenden.
3. IoT-Netzwerk segmentieren: Auf einem modernen Router (OpenWrt, UniFi, Firewalla, MikroTik) ein dediziertes IoT-VLAN ohne Zugriff auf das Haupt-VLAN erstellen. Ihre vernetzten Geräte müssen nicht mit Ihrem Laptop kommunizieren.
4. Überprüfen, ob kein UDP-Port zum Internet geöffnet ist: Auf Ihrer Box UPnP deaktivieren, solange kein expliziter Bedarf besteht. Die NAT-Tabelle kontrollieren.
5. Radikalere Entscheidung: Ersetzen durch eine Kamera, die ihr Bedrohungsmodell dokumentiert (Reolink, Ubiquiti UniFi Protect oder eine selbst gehostete Lösung wie Frigate + RTSP-IP-Kamera).

Quellen und Verfolgung

Der ursprüngliche Bericht ist öffentlich:

• BadChemical/IoT-Vulnerability-Research-Public auf GitHub
• Hacker News-Diskussion: Zu lesen für technische Diskussionen und Rückmeldungen von TP-Link

Wir werden das Auftreten einer CVE und eines korrigierenden Firmware beobachten. Wenn die Schwachstelle ohne verfügbaren Patch bestätigt wird, bleibt die vorsichtigste Empfehlung die Kamera abzustecken oder sie auf einem VLAN ohne ausgehende Route zu isolieren.

Zu beachten: Wenn ein verbundenes Objekt auf UDP ohne Authentifizierung hört, ist es wahrscheinlich fehlerhaft. Dieser spezifische Fall ist nicht das schlimmste Szenario (kein RCE, kein exponierter Video-Stream), aber die Geolokalisierung eines Zuhauses sind keine Daten, die man auf die leichte Schulter nehmen sollte.