Tapo C210의 다수 취약점에 대한 보안 권고 (CVE-2026-105814 및 CVE-2026-105815)

취약점 및 영향 설명

CVE-2026-105814: DS JSON API의 순서 의존적 인증 우회 취약점

TP-Link Tapo C210 V3.60의 DS JSON API에는 인증 우회 취약점이 존재합니다. 보호된 작업과 인증 없이 사용할 수 있는 온보딩 관련 필드를 함께 담은 조작된 JSON 요청을 보내면 모듈 수준의 권한 확인이 일관되지 않게 적용될 수 있습니다. 그 결과 유효한 인증 세션 없이도 팬-틸트-줌(PTZ) 제어를 비롯한 보호된 카메라 작업이 실행될 수 있습니다.

이 취약점이 악용되면 인접 네트워크에 있는 인증되지 않은 공격자가 유효한 인증 세션 없이 PTZ 제어 등 보호된 카메라 작업을 수행할 수 있으며, 카메라 기능이 무단으로 조작될 수 있습니다.

CVSS v4.0 점수: 5.3 / 중간

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

CVE-2026-105815: 자격증명 자료 노출로 인한 무단 스트리밍 미디어 세션 액세스

TP-Link Tapo C210 V3.60은 인증되지 않은 DS JSON API 요청을 통해 공유 자격 증명 정보와 암호화 관련 메타데이터를 노출할 수 있습니다. 노출된 공유 자격 증명은 Streamd Digest 인증 메커니즘에서 관리자 비밀번호로 수락될 수 있어, 인접 네트워크에 있는 인증되지 않은 공격자가 장치 계정 비밀번호를 몰라도 암호화된 미디어 세션을 설정할 수 있습니다.

이 취약점이 악용되면 자격 증명 및 암호화 관련 정보가 노출되고, 암호화된 미디어 세션에 무단으로 접근할 수 있습니다.

CVSS v4.0 점수: 7.1 / 높음

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

영향을 받는 제품/버전 및 수정된 버전:

권장 사항:

해당 장치를 사용 중인 사용자분들께는 다음 조치를 취하실 것을 강력히 권장합니다:

1. 지침에 따라 최신 펌웨어 버전으로 업데이트하십시오:

한국: Tapo C210용 다운로드 | TP-Link

주의사항:

상기 권고 조치를 실행하지 않으면 해당 취약점이 지속될 수 있습니다. 이 공지사항의 권고 조치를 따르지 않아 발생하는 결과의 책임은 TP-Link가 아닌 사용자에게 귀속됩니다.