OPSWAT’taki güvenlik araştırmacıları, TP-Link’in Tapo C200 ve C120 kameralarında iki yüksek önem dereceli açık tespit etti. Amazon’da 26,99 dolara listelenen pan-tilt iç mekân kamerası C200, bebek monitörü ve evcil hayvan kamerası olarak pazarlanıyor.
Daha ciddi açık, aynı ağdaki bir kişinin parola olmadan kamera yöneticisi olarak oturum açmasına izin verebiliyor. Bu erişim canlı videoyu, kayıtlı görüntüleri ve yapılandırma değişikliklerini kapsıyor. OPSWAT, bebek monitörü olarak kullanılan ele geçirilmiş bir C200’ün canlı video, gece görüşü, ağlama algılama ve iki yönlü sesi açığa çıkarabileceğini belirtti.
OPSWAT’ın Unit 515 ekibinden araştırmacılar Khoi Tran ve Thai Do, normal challenge-response girişinde döndürülen bir değerin belirli koşullarda kameraya geri gönderildiğinde geçerli kimlik doğrulama yanıtı olarak kabul edilebildiğini buldu. Bunun sonucunda, parola veya mevcut oturum olmadan az sayıda istekle yönetici oturumu açılabiliyor.
İkinci açık CVE-2026-15316 yalnızca C200’ü etkiliyor. Şifrelenmiş Wi-Fi kimlik bilgileri içeren aşırı büyük bir veri, HTTPS hizmetinin çökmesine veya cihazın yeniden başlamasına yol açabiliyor. Açıklar sırasıyla 8,7 ve 7,1 skorları verilen CVE-2026-15315 ve CVE-2026-15316 olarak izleniyor.
C200 Amazon’da 3.000’den fazla satışa ulaşırken, mevcut C120 sürümü ayda 5.000’den fazla satıyor. V1 donanımı, kullanıcılar donanım yazılımını güncelleyene kadar açık durumda kalıyor. TP-Link her iki model için güncelleme yayımladı. OPSWAT ayrıca bir başka kritik açığın ayrıntılarını, yama beklediği için açıklamadı; yayımlanma takvimi verilmedi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.