TP-Link Kasa 카메라 2종 취약점 공개…암호화 키·위치정보 노출

TP-Link 공식 보안 권고에 따르면 Kasa 실내용 카메라 EC70 v4와 EC71 v4에서 암호화 키와 위치정보가 노출될 수 있는 취약점 2건이 확인됐다. 회사는 영향을 받는 기기의 펌웨어와 모바일 Kasa 앱을 최신 버전으로 업데이트할 것을 권고했다.

고위험으로 분류된 CVE-2026-9770은 여러 기기에 공통으로 쓰이는 암호화 개인 키가 펌웨어의 읽기 전용 파일시스템에 포함된 문제다. 공격자가 펌웨어 이미지에서 키를 추출한 뒤 같은 로컬 네트워크에서 웹 관리 통신의 기밀성을 훼손할 수 있다. TP-Link는 중간자 공격이나 관리자 자격 증명 가로채기로 이어질 가능성을 제시했으며, CVSS 4.0 기준 점수는 8.6이다.

CVE-2026-13230은 로컬 기기 탐색 응답이 인증 없이 위치 관련 정보를 노출하는 취약점이다. 같은 네트워크에 접속한 공격자가 조작된 요청을 보내면 위치정보를 가져갈 수 있다고 회사는 설명했다. 이 취약점의 CVSS 4.0 점수는 5.3으로, TP-Link는 기밀성에 영향을 주지만 무결성과 가용성 침해 증거는 확인하지 않았다고 밝혔다.

영향 범위는 EC70 v4와 EC71 v4다. CVE 기록과 제조사 권고에는 CVE-2026-9770의 수정 버전이 2.4.0 Build 20260520 rel.4191, CVE-2026-13230의 수정 버전이 2.4.1 Build 20260621 rel.76536으로 제시돼 있다. 사용자는 Kasa 앱에서 기기 펌웨어를 확인하고 앱 자체도 최신판으로 갱신해야 한다.

취약점을 공개한 보안 연구자 크리스토퍼 칠드리스의 기술 보고서는 EC71 펌웨어와 로컬 통신을 분석해 공통 RSA 키와 인증 없는 위치정보 응답을 확인했다고 설명한다. 연구자는 올해 1월부터 제조사와 조정된 공개 절차를 진행했으며, 펌웨어 2.4.1에서 주요 재현 경로가 차단됐다고 밝혔다. 이 보고서에는 기기를 초기화한 뒤에도 이전 소유자의 정보가 남을 수 있는 중고 거래 위험도 제기됐지만, TP-Link 공식 권고가 확인한 영향 제품은 EC70 v4와 EC71 v4로 한정된다.

이번 취약점은 가정용 카메라처럼 물리적 공간과 연결된 IoT 기기에서 공통 암호화 키와 위치정보가 결합될 때 위험이 커질 수 있음을 보여준다. 다만 TP-Link 권고와 CVE 기록에는 실제 공격에 악용됐다는 내용이 없다. 제품 모델명뿐 아니라 하드웨어 버전과 펌웨어 빌드를 함께 확인하는 것이 필요하다.

출처: TP-Link 공식 보안 권고 https://www.tp-link.com/us/support/faq/5192/ · CVE-2026-9770 기록 https://www.cve.org/CVERecord?id=CVE-2026-9770 · CVE-2026-13230 기록 https://www.cve.org/CVERecord?id=CVE-2026-13230 · 연구자 기술 보고서 https://github.com/BadChemical/IoT-Vulnerability-Research-Public/blob/main/TP-Link_Kasa_EC71/Kasa_EC71.md