L'exploitation de la Nintendo Switch 2 continue de faire parler d'elle. Après la découverte de la chaîne d'exploitation ns2jb utilisant notamment SmileBASIC et une vulnérabilité du module FS (File System), le développeur et chercheur en sécurité hexkyz a partagé de nouvelles informations techniques particulièrement intéressantes.
Au programme : contrôle total de l'userland, extraction de jeux, possibilité d'un exploit permanent et perspectives pour le futur du hack de la console.

Une faille FS connue depuis longtemps, mais jugée inexploitable

Dans un message publié sur Discord, hexkyz explique que la vulnérabilité du module FS était en réalité connue depuis de nombreuses années, bien avant son intégration dans les travaux liés à Atmosphère.
À l'époque, cette faille avait été considérée comme difficilement exploitable en raison de l'organisation particulière de la mémoire du module FS.
Elle avait néanmoins été conservée dans l'éventualité où de futures modifications du système permettraient de l'utiliser.
Contre toute attente, la vulnérabilité était finalement exploitable sans attendre de tels changements.
La principale difficulté résidait dans la gestion du tas mémoire (heap), qui contient très peu de pointeurs exploitables.

Source : Discord Reswitched

L'intelligence artificielle a joué un rôle déterminant

L'une des révélations les plus intéressantes concerne l'utilisation de l'intelligence artificielle dans le développement de l'exploit.
Selon hexkyz, la technique permettant de détourner des objets mémoire était déjà connue des chercheurs en sécurité.
Le principe consiste à créer des objets IStorage dans le tas mémoire, puis à prendre le contrôle de leurs pointeurs de lecture et d'écriture.
Dans le cas de ns2jb, l'exploitation repose notamment sur des objets BufferedStorage.
La véritable innovation apportée par l'IA concerne le heap grooming, une technique consistant à manipuler précisément l'organisation du tas mémoire afin de rendre l'exploitation possible.
Hexkyz reconnaît que cette approche représente une contribution importante, même si le code généré est particulièrement complexe et difficile à comprendre.
Cette complexité pourrait notamment compliquer le portage de l'exploit vers d'autres points d'entrée.

Un contrôle total de l'userland de la Switch 2

Une fois l'accès arbitraire en lecture et en écriture obtenu, l'exploit utilise différentes techniques déjà connues pour prendre le contrôle du module FS.
D'après hexkyz, FS représente le niveau de privilèges le plus élevé qu'il soit possible d'atteindre dans l'espace utilisateur de la Nintendo Switch 2.
Cette compromission ouvre donc la voie à plusieurs possibilités :

- Extraction de jeux et d'applications.
- Récupération de modules système ne fonctionnant pas au niveau KIP.
- Développement d'outils homebrew avancés.
- Modification de contenus et de fichiers de jeux.
- Analyse approfondie du fonctionnement du système.

Il précise toutefois une limitation importante : l'accès à FS ne permet pas de récupérer les clés de chiffrement de la console.

De même, cet exploit ne donne pas automatiquement accès au kernel ni aux composants les plus protégés du système.
SmileBASIC n'est pas indispensable pour exploiter la faille
C'est probablement l'une des informations les plus importantes de cette publication.
Contrairement à ce que certains utilisateurs pourraient penser, SmileBASIC n'est pas indispensable à l'exploitation de la vulnérabilité FS.
Le logiciel constitue simplement le point d'entrée choisi pour développer et démontrer la chaîne d'exploitation actuelle.

Selon hexkyz, cette dernière pourrait théoriquement être adaptée à d'autres points d'entrée, notamment :

- Des jeux Nintendo Switch de première génération
- Des jeux Nintendo Switch 2
- Le navigateur Internet intégré à certains composants du système.

La commande FS vulnérable étant accessible depuis de nombreux environnements, d'autres méthodes d'exploitation pourraient voir le jour.
Cela ne signifie cependant pas que tous les jeux permettront automatiquement d'exploiter la faille : un point d'entrée adapté reste nécessaire

Un exploit permanent sur Nintendo Switch 2 serait théoriquement possible

Autre révélation particulièrement intéressante : hexkyz estime que la chaîne d'exploitation pourrait, en théorie, devenir untethered, c'est-à-dire fonctionner sans nécessiter systématiquement le même déclenchement manuel.
Pour parvenir à ce résultat, les développeurs devraient réussir à manipuler certaines données de sauvegarde système suffisamment tôt pendant le démarrage.
Hexkyz précise que des techniques similaires ont déjà été démontrées avec d'autres vulnérabilités.
Cependant, une difficulté majeure demeure : garantir que l'organisation du tas mémoire soit exploitable dès le démarrage de la console.
Cette condition pourrait se révéler extrêmement complexe à satisfaire
Pour le moment, il s'agit donc uniquement d'une possibilité théorique et non d'une fonctionnalité déjà disponible.

Vers un custom firmware ou un emuNAND sur Switch 2 ?

La question d'un éventuel custom firmware, similaire à Atmosphère sur la première Nintendo Switch, revient naturellement.
Avec un contrôle aussi important sur l'userland, la faille FS représente indéniablement une avancée majeure pour la scène homebrew.
Néanmoins, hexkyz rappelle que compromettre FS ne facilite pas nécessairement l'exploitation du kernel.
Or, pour développer un véritable custom firmware ou un système emuNAND comparable à ceux disponibles sur la première Switch, des capacités supplémentaires seraient probablement nécessaires.
Il faudrait notamment pouvoir intervenir sur des mécanismes de démarrage, de gestion mémoire ou de redirection du stockage qui ne sont pas automatiquement accessibles depuis FS.
La possibilité d'un exploit permanent ne doit donc pas être confondue avec l'arrivée d'un custom firmware complet ou d'un emuNAND.

Hexkyz évoque également une technique qui pourrait permettre de compromettre d'autres modules KIP, mais aucune démonstration publique de cette possibilité n'est présentée dans son message.

Firmware 23.0.1 : faut-il mettre à jour sa Nintendo Switch 2 ?

Hexkyz aborde également la question des versions du système.
D'après ses explications, la vulnérabilité concerne les firmwares allant jusqu'à la version 23.0.1 et devrait être corrigée par Nintendo dans une mise à jour ultérieure.
Il souligne toutefois que les versions plus anciennes du système présentent un autre avantage : elles disposent généralement de moins de protections contre l'exploitation de vulnérabilités.
Certains anciens firmwares contiendraient également des failles privées qui n'ont pas encore été divulguées.
Il cite notamment une vulnérabilité FS présente dans le firmware 19, qui avait permis à des chercheurs d'extraire une partie de la mémoire du module.
Ainsi, rester sur un firmware ancien pourrait présenter un intérêt pour de futures recherches, mais cela ne garantit aucunement la découverte d'un exploit plus puissant.
Les utilisateurs doivent également garder à l'esprit que ne pas mettre à jour leur console peut entraîner des restrictions de compatibilité avec certains jeux ou services.

Une faille comparable à nspwn sur la première Switch

Pour les connaisseurs de la scène Nintendo Switch, hexkyz établit un parallèle avec l'ancienne vulnérabilité nspwn.
Cette faille, découverte sur la première Nintendo Switch, permettait également d'obtenir une exécution de code arbitraire grâce à une vulnérabilité du module FS.
La chaîne d'exploitation actuelle peut donc être considérée comme une sorte d'équivalent moderne de nspwn sur Nintendo Switch 2.
La différence majeure réside dans les protections supplémentaires intégrées au nouveau système, qui rendent une éventuelle élévation de privilèges vers le kernel beaucoup plus difficile.

Conclusion : une avancée majeure, mais le hack complet reste encore loin

Les explications de hexkyz permettent de mieux comprendre l'importance de l'exploit ns2jb et les possibilités qu'il ouvre pour la Nintendo Switch 2.
L'accès au module FS représente une avancée considérable pour le développement de homebrews, l'extraction de données et la recherche de nouvelles vulnérabilités.
L'utilisation de l'intelligence artificielle dans la mise au point de l'exploitation mémoire constitue également un élément remarquable de cette découverte.
Mais malgré ces progrès, plusieurs obstacles importants restent à franchir avant d'envisager un véritable custom firmware ou un emuNAND.
La scène hack de la Nintendo Switch 2 vient donc de franchir une étape importante, sans pour autant avoir encore obtenu le contrôle total de la console.
Reste maintenant à voir si les chercheurs réussiront à exploiter d'autres modules système ou à transformer cette chaîne d'exploitation en une solution permanente.
Une chose est certaine : les prochaines avancées autour de ns2jb seront particulièrement intéressantes à suivre.