Бюллетень по безопасности: физический доступ к UART, позволяющий получить root-оболочку без аутентификации на устройствах Kasa EC70 и EC71 (CVE-2026-102370)

Описание уязвимости и её последствий

CVE-2026-102370: Физический доступ к UART, приводящий к неаутентифицированной root-оболочке

Kasa EC70 v4 и EC71 v4 логически не отключают производственный отладочный интерфейс на уровне прошивки или чипа и не блокируют bootloader. Хотя отладочные трассы физически перерезаны во время производства, злоумышленник с физическим доступом может восстановить соединение, прервать процесс загрузки и манипулировать параметрами загрузки, чтобы войти в нестандартный путь инициализации, который открывает неаутентифицированную root-оболочку во время запуска.

Успешная эксплуатация может позволить злоумышленнику с физическим доступом получить доступ к командам уровня root во время запуска устройства, что приводит к потере конфиденциальности, целостности и доступности затронутого устройства. Эксплуатация требует разборки устройства, восстановления перерезанного отладочного соединения и манипулирования процессом загрузки.

Оценка CVSS v4.0: 5.4 / Средний

CVSS:4.0/AV:P/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Следуйте инструкциям для обновления до последней версии прошивки:

US: Загрузка для EC70 | TP-Link

Загрузка для EC71 | TP-Link

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно установить доступные обновления прошивки или применить описанные в данном уведомлении обходные меры. Устройства/системы, не обновлённые или не защищённые описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.