Tapo C110における認証済みフォーマット文字列インジェクションの脆弱性に関するセキュリティアドバイザリ（CVE-2026-6250）

脆弱性および影響の説明:

CVE-2026-6250

Tapo C110 v2のONVIFサービスには、ユーザーが制御可能な入力の処理が不適切であることに起因する、認証済みフォーマット文字列の脆弱性が存在します。外部から制御されたデータがフォーマット文字列として解釈されることで、戻りアドレスなどの制御フローデータを含むスタックメモリを操作される可能性があります。

リモートの認証済み攻撃者は、実行フローを既存の内部関数へリダイレクトし、不正な初期化を引き起こす可能性があります。その結果、設定の消失、保存済み認証情報の削除、およびサービスの中断につながるおそれがあります。

CVSS v4.0 スコア: 7.0 / High

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

影響を受ける製品/バージョンおよび修正:

推奨事項:

影響を受けるデバイスをご利用のお客様には、以下の対応を強く推奨します。

1. 脆弱性を修正するため、手順に従って最新のファームウェアバージョンへアップデートしてください。

Download for Tapo C110 | TP-Link

免責事項:

本アドバイザリは情報提供のみを目的として提供されるものであり、予告なく変更される場合があります。本情報は、いかなる種類の保証もなく「現状有姿」で提供されます。TP-Linkは、お客様に対し、利用可能なファームウェアアップデートを速やかに適用すること、または本アドバイザリに記載された回避策を実施することを推奨します。記載されたアップデートまたは緩和策が適用されていないデバイス/システムは、引き続き脆弱な状態となる可能性があります。TP-Linkは、当該アップデートの適用を行わなかったことに起因して発生した損害または損失について、一切の責任を負いません。