보안 권고사항: Tapo C120 및 C200 관련 복수의 취약점 (CVE-2026-15315 및 CVE-2026-15316)

취약점 및 영향 설명

CVE-2026-15315: device_confirm Replay를 통한 인증되지 않은 관리자 인증 우회

Tapo C120 v1 및 C200 v5에는 로그인 인증 검증 모듈 내에 부적절한 인증 취약점이 존재합니다. 로컬 네트워크상의 공격자는 챌린지 매개변수 유효성 검사상의 취약점을 악용하여 정상적인 인증 제어를 우회하고 관리자 세션 토큰을 획득할 수 있습니다.

이 취약점이 성공적으로 악용될 경우, 공격자는 이후 특권 관리 작업을 실행하고, 무단 관리자 액세스를 허용하며, 장치 서비스를 일시적으로 중단시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.

CVSS v4.0 스코어: 8.7 / 높음

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2026-15316: 과도한 크기의 암호화된 자격증명 입력에 의한 서비스 거부

Tapo C200 v5에서 암호화된 자격증명 데이터를 처리하는 설정 서비스에 부적절한 입력 유효성 검사 취약점이 확인되었습니다. 공격자는 유효성 검사가 불충분하여 예외 처리 오류를 유발할 수 있는 과도한 크기의 암호화된 암호문 값을 전송함으로써, 영향을 받는 장치가 중단되거나 재시작되도록 할 수 있습니다.

이 취약점이 성공적으로 악용될 경우, HTTPS 관리 및 모니터링 기능이 일시적으로 중단되어 서비스가 복구될 때까지 서비스 거부(DoS) 상태가 발생할 수 있습니다.

CVSS v4.0 스코어: 7.1 / 높음

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

영향을 받는 제품/버전 및 수정 사항:

권장 사항:

영향을 받는 장치를 사용 중인 사용자는 다음 조치를 취할 것을 강력히 권장합니다:

1. 지침에 따라 최신 펌웨어 버전으로 업데이트하십시오:

Tapo C120용 다운로드 | TP-Link

Tapo C200용 다운로드 | TP-Link
 

주의사항:

본 권고 사항은 정보 제공 목적으로만 제공되며, 사전 고지 없이 내용이 변경될 수 있습니다. 해당 내용은 관련 정보를 사실 그대로 전달할 뿐이며, 어떠한 형태의 보증도 제공하지 않습니다. TP-Link는 가용한 펌웨어 업데이트를 즉시 적용하거나 이 공지사항에 명시된 해결 방법을 즉시 실행할 것을 권장합니다. 상기 내용대로 업데이트나 보안 조치를 실행하지 않으면 장치 또는 시스템에 취약점이 남을 수 있습니다. 이 공지사항의 권고 조치를 따르지 않아 발생하는 결과의 책임은 TP-Link가 아닌 사용자에게 귀속됩니다.
 

이 문서에는 기계 번역이 적용되었으며, 정확한 내용을 확인하려면 원본 영문 문서를 참고하시기 바랍니다.