Komunikat dotyczący komunikacji Bluetooth korzystającej z nieszyfrowanej transmisji w trakcie pierwszej konfiguracji na Tapo L535E, P300 i D100C (CVE-2026-34126)

Opis podatności bezpieczeństwa i jej wpływ:

CVE-2026-34126

TP-Link zidentyfikował podatność w Tapo L535E V1.0/V3.0, Tapo P300 V1.0 i Tapo D100C v1.0, która sprawia, że komunikacja Bluetooth w trakcie wstępnej konfiguracji jest przesyłana zwykłym tekstem bez szyfrowania. Bluetooth jest używany wyłącznie podczas inicjowania urządzenia.

Osoba atakująca w zasięgu Bluetooth może wykorzystać to zachowanie do przechwycenia ruchu lub wykonania ataku Man-in-the-middle, co może umożliwić podsłuchanie komunikacji Bluetooth, manipulację przesyłanymi danymi konfiguracyjnymi i potencjalnym uzyskaniem nieautoryzowanej kontroli nad urządzenia w trakcie jego inicjowania.

CVSS v4.0 Wynik: 7.3 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Lista produktów i wersji oprogramowań związanych z opisaną podatnością:

Uwaga: D100C jest dzwonkiem dostarczanym z kamerą Tapo i jest częścią następujących zestawów produktów:

D130, D210, D235, D225, TD21, TDB21 and TD25

Zalecenia:

Stanowczo zalecamy użytkownikom wspomnianych urządzeń podjęcie następujących działań:

1. Zaktualizuj oprogramowanie podatnych urządzeń do najnowszej wersji, aby naprawić podatność:

Dla produktów z USA:
Centrum pobierania Tapo L535E | TP-Link USA

Dla produktów z Europy:
Centrum pobierania Tapo L535E | TP-Link Polska

Centrum pobierania Tapo P300 | TP-Link Polska

Dla produktów z Japonii:
Centrum pobierania Tapo P300 | TP-Link Japonia

Centrum pobierania Tapo L535E | TP-Link Japonia

2. Skorzystaj z aplikacji Tapo, aby sprawdzić i zaktualizować oprogramowanie w celu naprawienia podatności. Można to zrobić w zakładce Ustawienia (ikona zębatki) > Aktualizacja oprogramowania.

Zastrzeżenia:

Ten komunikat jest wydany wyłącznie w celach informacyjnych i może ulec zmianie bez powiadomienia. Informacje są podawane “tak jak są” bez jakichkolwiek gwarancji. TP-Link zaleca swoim klientom zastosowanie aktualizacji oprogramowania lub zaimplementowanie udokumentowanego rozwiązania w tym komunikacie. Urządzenia i systemy, które nie zostaną zaktualizowane lub nie zostanie ograniczona ich podatność, mogą w dalszym ciągu być zagrożone. TP-Link zrzeka się jakiejkolwiek odpowiedzialności za szkody i straty wynikające z niepowodzenia implementacji podanych aktualizacji.