l+f: Reverse Engineering Schritt-für-Schritt – KI hilft auch mit
Ein Sicherheitsforscher nimmt Interessierte mit auf eine Reise in eine IP-Kamera-Firmware. Das Ergebnis sind Patches für TP-Links Tapo-C200-Modell.
(Bild: Jackie Niam/Shutterstock.com)
Wie funktioniert eigentlich Reverse Engineering und wie kann KI dabei helfen? Am Beispiel einer Firmware von TP-Link zeigt ein Sicherheitsforscher, wie die Rekonstruktion des Codes vonstattengehen kann, auf welche Sicherheitsprobleme er dabei gestoßen ist und wie sich der Hersteller dazu verhalten hat.
Arbeitsweise
Seine Erkenntnisse hat er in einem Beitrag zusammengefasst. Dabei geht er Schritt für Schritt vor. Die Firmware für die IP-Kamera hat er öffentlich im Internet verfügbar entdeckt und sie mit Tools wie binwalk analysiert. Über den KI-Chatbot Grok hat er dann Informationen zum Entschlüsseln des Codes gesammelt.
Nach der Entschlüsselung begab er sich mit Werkzeugen wie Ghidra auf die Suche nach Bugs. Bei der Analyse des Dateisystems half ihm das KI-Tool Cline. Weiterführende Details zu bestimmten Funktionen im Code ließ er sich von KI erläutern.
Ergebnis
Am Ende stuft er die Kombination aus seinem Fachwissen und KI-Tools als erfolgreich ein und er stieß auf insgesamt drei Sicherheitslücken (CVE-2025-8065 „hoch“, CVE-2025-14299 „hoch“, CVE-2025-14300 „hoch“). An den Schwachstellen können entfernte Angreifer für DoS-Attacken ansetzen. Mittlerweile hat der Hersteller Sicherheitspatches veröffentlicht.
Die Kommunikation mit TP-Link stuft der Sicherheitsforscher als langwierig ein. Nach seiner Meldung im Juli dieses Jahres hat der Hersteller erst im Dezember Updates veröffentlicht.
Er schließt seinen Beitrag kritisch: TP-Link ist eine CVE Numbering Authority (CNA) und kann somit CVE-Kennungen für an sie gemeldete Schwachstellen vergeben. Im gleichen Atemzug werben sie damit, dass sie weniger Sicherheitslücken als die Konkurrenz von Cisco & Co. haben. „Es besteht ein offensichtlicher und struktureller Interessenkonflikt, wenn ein Anbieter seine eigene CNA sein darf und gleichzeitig die Anzahl seiner CVEs als Marketingkennzahl nutzt.“
lost+found
Die heise-Security-Rubrik für Kurzes und Skurriles aus der IT-Security.
Alle l+f Meldungen in der Übersicht
(des)
