TP-Link Kasa EC71: câmeras expuseram geolocalização doméstica via UDP não autenticado por seis anos

Um pesquisador independente publicou a análise de uma câmera Kasa que, desde 2019, respondia a consultas UDP não assinadas e divulgava as coordenadas GPS da residência. Uma classe de bug que já deveria ter desaparecido.

Fatos

Um repositório público no GitHub (BadChemical/IoT-Vulnerability-Research-Public), compartilhado no Hacker News, documenta uma vulnerabilidade afetando a câmera TP-Link Kasa EC71, uma câmera Wi-Fi interna para uso doméstico.

O comportamento documentado:

• A câmera escuta em uma porta UDP local sem autenticação
• Uma solicitação forjada (pacote UDP criado) desencadeia uma resposta contendo coordenadas GPS armazenadas na câmera (provavelmente provenientes do aplicativo móvel durante a associação inicial — o relatório não detalha precisamente a origem dessas coordenadas, mas a ordem de grandeza da precisão e o contexto apontam para essa origem)
• Nenhuma limitação de origem: se o pacote UDP puder atingir a câmera (rede local ou rede externa se o dispositivo estiver exposto), a informação é vazada

Impacto: geolocalização do domicílio de qualquer usuário da câmera afetada, explorável na LAN no mínimo, explorável pela Internet se a porta estiver aberta (má configuração NAT, UPnP agressivo, redes de convidados mal segmentadas).

Duração da exposição: segundo o relatório, a função está presente desde o firmware inicial, ou seja, há aproximadamente seis anos.

Análise

Esse tipo de falha se enquadra na categoria CWE-306 (Missing Authentication for Critical Function) — um clássico no IoT doméstico, mas que, em 2026, não tem mais desculpa. Duas falhas de projeto se somam:

1. Escutar em texto claro em UDP local é aceitável para descoberta de serviços (mDNS, SSDP), não para retornar dados sensíveis.
2. Armazenar uma geolocalização precisa no firmware de um objeto conectado sem necessidade funcional óbvia (uma câmera sabe que está na sua casa, não precisa das coordenadas GPS) é um defeito de projeto no sentido do RGPD: não conformidade com a minimização de dados.

O relatório não fornece um CVE atribuído até o momento nos trechos públicos — a ser monitorado nos advisories da TP-Link e no NVD. O fabricante pode ter sido notificado; o estado do patch não está confirmado no momento da escrita.

Quem é afetado

• Proprietários de câmeras TP-Link Kasa EC71, potencialmente outros modelos Kasa que compartilham o mesmo firmware base (a confirmar pelo pesquisador)
• Atacante na mesma rede Wi-Fi (convidado mal isolado, hotel, república, prédio com Wi-Fi compartilhado): exploração trivial
• Atacante na Internet: apenas se a porta UDP em questão for acessível externamente (má configuração NAT/UPnP)

Na prática, a pessoa mais exposta é aquela que usa sua câmera em casa e compartilha sua rede Wi-Fi (república, Airbnb, escritório compartilhado). O cenário abusivo: um convidado obtém as coordenadas GPS do celular ao enviar alguns pacotes UDP.

O que fazer (Ação imediata)

1. Verificar o modelo das suas câmeras Kasa: Kasa EC71 ou variantes do mesmo firmware. A etiqueta do modelo está na parte traseira ou embaixo da câmera.
2. Atualizar o firmware via o aplicativo Kasa Smart: Menu → Configurações do dispositivo → Atualização de firmware. Se existir um patch (verificar no site da TP-Link), aplicá-lo.
3. Segmentar a rede IoT: em um roteador moderno (OpenWrt, UniFi, Firewalla, MikroTik), criar uma VLAN dedicada para IoT sem acesso à VLAN principal. Seus objetos conectados não precisam se comunicar com o seu computador.
4. Verificar se nenhuma porta UDP está aberta para a Internet: na sua caixa de internet, desativar o UPnP enquanto não houver necessidade explícita. Controlar a tabela NAT.
5. Decisão mais radical: substituir por uma câmera que documente seu modelo de ameaça (Reolink, Ubiquiti UniFi Protect, ou uma solução auto-hospedada como Frigate + câmera IP RTSP).

Fontes e acompanhamento

O relatório inicial é público:

• BadChemical/IoT-Vulnerability-Research-Public no GitHub
• Discussão no Hacker News: consultar para trocas técnicas e retornos da TP-Link

Monitoraremos o surgimento de um CVE e de um firmware corretivo. Se a vulnerabilidade for confirmada sem patch disponível, a recomendação mais prudente continua sendo desconectar a câmera ou isolá-la em uma VLAN sem rota de saída.

Para lembrar: quando um objeto conectado escuta em UDP sem autenticação, provavelmente está em falta. Esse caso específico não é o pior dos cenários (sem RCE, sem fluxo de vídeo exposto), mas a geolocalização de um domicílio não é um dado a ser tratado levianamente.