Heap-based Buffer Overflow Vulnerability Leading to Denial-of-Service in TP-Link Tapo C100, C101 & C520WS

A heap-based buffer overflow vulnerability was identified in TP-Link Tapo C100/C101 v5, C520WS v2.6 in the HTTP POST body parsing logic due to missing validation of remaining buffer capacity after dynamic allocation, due to insufficient boundary validation when handling externally supplied HTTP input.   An attacker on the same network segment could trigger heap memory corruption conditions by sending crafted payloads that cause write operations beyond allocated buffer boundaries.  Successful exploitation causes a Denial-of-Service (DoS) condition, causing the device’s process to crash or become unresponsive.

TP-Link Tapo C520WS v2.6のDS構成サービスのHTTP処理において、認証チェック中のJSONリクエストの解析と認可ロジックの不整合により認証バイパスの脆弱性が特定されました。認証されていない攻撃者は、権限のあるDS操作を含むリクエストに認証免除のアクションを付加することで、認可チェックを回避できます。成功すると、認証されていない状態で制限された構成アクションを実行でき、デバイスの状態を不正に変更する可能性があります。

TP-Link Tapo C520WS v2.6において、動的割り当て後の残りのバッファ容量の検証が不足しているため、HTTP POSTボディ解析ロジックにヒープベースのバッファオーバーフローの脆弱性が特定されました。外部から提供されたHTTP入力を処理する際の境界検証が不十分であることが原因です。同一ネットワークセグメント上の攻撃者は、割り当てられたバッファの境界を超えて書き込み操作を発生させる細工されたペイロードを送信することで、ヒープメモリを破損させる可能性があります。脆弱性が悪用されると、サービス拒否（DoS）状態が発生し、デバイスのプロセスがクラッシュしたり応答不能になったりします。

TP-Link Tapo C520WS v2.6 の HTTP 解析ループ内で、分割されたリクエストボディを連続した書き込み境界の検証なしに連結する際に、不十分な境界検証が原因でヒープベースのバッファオーバーフローの脆弱性が見つかりました。攻撃者が同じネットワークセグメント上にいる場合、割り当てられたバッファ境界を超える書き込み操作を引き起こす細工されたペイロードを送信し、ヒープメモリの破損を誘発する可能性があります。この脆弱性が悪用されると、サービス拒否（DoS）状態を引き起こし、デバイスのプロセスがクラッシュまたは応答不能になります。

TP-Link Tapo C520WS v2.6において、ローカルビデオストリームコンテンツの非同期解析中に、ストリーミング入力を処理する際のバッファ境界のアライメントおよび検証が不十分でした。そのため、ヒープベースのバッファオーバーフロー脆弱性が特定されました。同一ネットワークセグメント上の攻撃者は、割り当てられたバッファ境界を超える書き込み操作を引き起こす細工されたペイロードを送信することで、ヒープメモリ破損を引き起こす可能性があります。もし成功すると、サービス拒否（DoS）状態を発生させ、デバイスのプロセスがクラッシュするか応答不能になります。

TP-Link Tapo C520WS v2.6の設定処理コンポーネントにおいて、入力検証が不十分なため、スタックベースのバッファオーバーフロー脆弱性が特定されました。攻撃者は脆弱な設定パラメータに対して過度に長い値を供給することでこの脆弱性を悪用でき、スタックオーバーフローを引き起こします。成功した悪用はサービス拒否（DoS）状態を招き、サービスのクラッシュやデバイスの再起動を発生させ、可用性に影響を与えます。

TP-Link Tapo C520WS v2.6のHTTPリクエストパス解析ロジックにサービス拒否の脆弱性が確認されました。実装では生のリクエストパスの長さ制限を強制していますが、パスの正規化中に行われる展開処理を考慮していません。隣接ネットワーク上の攻撃者は、細工されたHTTPリクエストを送信することでバッファオーバーフローやメモリ破損を引き起こし、システムが中断したりデバイスが再起動したりする可能性があります。