TP-Link Kasa EC71：カメラは、6年間にわたり認証されていないUDPを通じて家庭の地理的位置情報を公開していました

独立研究者が、2019年以来、署名されていないUDPリクエストに応答し、自宅のGPS座標を公開していたKasaカメラの分析を公開しました。この種のバグは、すでに消滅すべきものです。

Faits

GitHubの公開リポジトリ（BadChemical/IoT-Vulnerability-Research-Public）がHacker Newsで紹介され、TP-LinkのKasa EC71という一般向けWi-Fi内蔵カメラに影響を与える脆弱性が文書化されています。

報告された動作は以下の通りです：

• カメラは認証なしでローカルUDPポートを監視
• 偽造された要求（Crafted UDP Packet）が送信されると、カメラ内に保存されているGPS座標を含む応答が返される（おそらく初期設定時にモバイルアプリから取得されたもの。報告書ではこれらの座標の正確なソースは詳細に記載されていないが、精度のオーダーと文脈からこのソースを指している）
• ソースの制限なし：UDPパケットがカメラに到達できる場合（ローカルネットワーク、またはアプライアンスが公開されている場合は外部ネットワーク）、情報が漏洩する

影響：該当カメラを使用するユーザーの自宅の地理的位置情報が特定され、少なくともLAN上で利用可能。ポートが開いている場合（不適切なNAT設定、攻撃的なUPnP、不適切にセグメント化されたゲストネットワーク）はインターネット経由でも利用可能。

露出期間：報告書によると、この機能は初期ファームウェアから存在しており、約6年にわたる。

分析

この種のバグはCWE-306（Critical Functionの認証不足）のカテゴリに属し、2026年時点で一般的なIoT製品においては許されないものです。2つの設計ミスが重なっています：

1. UDPローカルで平文を監視することは、サービスディスカバリー（mDNS、SSDP）には受け入れられますが、機密データを返すには不適切です。
2. 正確な地理的位置情報を保存することは、明確な機能的必要性がないIoTデバイスのファームウェアにおいては、GDPRの観点からデータ最小化の原則に反する設計上の欠陥です。

報告書では、公開された抜粋ではCVEが割り当てられていない。TP-LinkのアドバイザリーやNVDで監視する必要がある。ベンダーは通知されている可能性があるが、パッチの状況は確認されていない。

影響を受ける人

• TP-Link Kasa EC71のカメラ所有者、および同じベースファームウェアを共有する可能性のある他のKasaモデル（研究者によって確認が必要）
• 同じWi-Fiネットワーク上の攻撃者（悪意のあるゲスト、ホテル、シェアハウス、共有Wi-Fiのあるアパートメント）：トリビアルなエクスプロイト
• インターネット攻撃者：関連するUDPポートが外部からアクセス可能な場合のみ（不適切なNAT/UPnP設定）

実際には、自宅でカメラを使用し、Wi-Fiを共有している人（シェアハウス、Airbnb、共有オフィス）が最も露出しています。悪用シナリオ：ゲストが電話からUDPパケットをいくつか打つことでGPS座標を取得する。

対策（今すぐ行うこと）

即時対策の枠組み：

1. カメラのモデルを確認：Kasa EC71または同じファームウェアのバリエーション。モデルバッジは裏側またはカメラの下にあります。
2. ファームウェアを更新：Kasa Smartアプリから：メニュー→デバイス設定→ファームウェア更新。パッチが存在する場合（TP-Linkで確認が必要）、適用する。
3. IoTネットワークをセグメント化：モダンルーター（OpenWrt、UniFi、Firewalla、MikroTik）で、メインVLANにアクセスできない専用IoT VLANを作成。IoTデバイスはラップトップと通信する必要はありません。
4. インターネットに向けてUDPポートが開いていないことを確認：ボックス上で、明示的な必要性がない限りUPnPを無効にする。NATテーブルを制御する。
5. より根本的な決定：脅威モデルを文書化するカメラ（Reolink、Ubiquiti UniFi Protect、またはFrigate + RTSP IPカメラのような自ホスティングソリューション）に置き換える。

ソースとフォローアップ

初期報告書は公開されています：

• GitHubのBadChemical/IoT-Vulnerability-Research-Public
• Hacker Newsのディスカッション：技術的な交換とTP-Linkのフィードバックを確認するために参照

CVEと修正ファームウェアの登場を監視します。脆弱性が確認されても利用可能なパッチがない場合、最も慎重な推奨事項はカメラを切断するか、送信経路のないVLANに隔離することです。

覚えておくべきこと：認証なしでUDPを監視する接続デバイスは、おそらく不適切です。この特定のケースは最悪のシナリオではありません（RCEはなく、ビデオストリームは公開されていない）、しかし自宅の地理的位置情報は軽視できないデータです。