Nintendo Switch 2 Jailbreak: OpenAIs Codex half bei der Entwicklung von ns2jb. Der Exploit ermöglicht Homebrew und Mods, hat aber Grenzen.
Erstmals ist einem Entwickler gelungen, die Schutzmechanismen der Nintendo Switch 2 mit einem softwarebasierten Jailbreak zu überwinden. Sicherheitsforscher Sammy Hajhamid alias pepsipu stellte mit dem Projekt ns2jb den Exploit vor. Dieser ermöglicht Homebrew und Modifikationen an Switch-2-Spielen. OpenAIs Codex half bei der Suche nach Schwachstellen. Erste Mods für Mario Kart World zeigen, was dadurch möglich wird. Bis zu einer dauerhaft entsperrten Konsole ist es allerdings noch ein weiter Weg. Dennoch ist der Jailbreak ein Durchbruch für die Homebrew-Szene.
Nintendo Switch 2 Jailbreak: Software statt Modchip
Sicherheitsforscher Sammy Hajhamid, der auch unter dem Pseudonym pepsipu auftritt, hat erstmals die Schutzmechanismen der Nintendo Switch 2 durch einen rein softwarebasierten Jailbreak überwunden. In seinem Blogbeitrag dokumentiert er, wie er mit Unterstützung von OpenAIs Codex den Switch-2-Exploit ns2jb entwickelte. Nach eigener Aussage handelt es sich um den ersten Exploit dieser Art für die neue Konsole.
Auf seiner Website stellt sich Hajhamid als Student am California Institute of Technology (Caltech) vor. Zuvor war er nach eigenen Angaben u.a. bei den Sicherheitsunternehmen Trail of Bits, Zellic und OtterSec sowie bei Neuralink tätig.
Pepsipu dokumentiert den Switch-2-Jailbreak
Der Hack ermöglicht es, nativen Code mit den Berechtigungen gewöhnlicher Systemmodule sowie des Dateisystemmoduls fs auszuführen. Dadurch lassen sich Homebrew-Anwendungen starten, Spielstände sichern und Modifikationen an Titeln wie Mario Kart World ausprobieren. Darüber hinaus ermöglicht der Exploit den Zugriff auf einen Großteil der Hardwareperipherie über Memory-Mapped-I/O-Schnittstellen (MMIO). Entwickler können damit Hardware untersuchen, ohne zuvor jeden einzelnen Gerätetreiber separat angreifen zu müssen. Der Hack kommt ohne Modchip und ohne Eingriff ins Gehäuse aus.
OpenAIs Codex unterstützte pepsipu bei der Suche nach geeigneten Schwachstellen, der Analyse von Code und der Entwicklung der Angriffskette. Hajhamid beschreibt in seinem Blog, wie er die Arbeit des KI-Systems mit einer eigens eingerichteten Testumgebung verband. Der Erfolg basiert schließlich auf einem längeren Entwicklungsprozess, in dem der Forscher unterschiedliche Ansätze prüfte, Ergebnisse kontrollierte und die gefundenen Fehler zu einer funktionierenden Angriffskette verband.
Mit KI-Unterstützung zum Switch-2-Exploit
Zu Beginn richtete Hajhamid eine Testumgebung ein, über die Codex Eingaben an die Konsole senden und deren Bildausgabe auswerten konnte. Auch Neustarts ließen sich auf diese Weise automatisieren. Der Entwickler nutzte das KI-System, um Schwachstellen aufzuspüren und mögliche Angriffspfade zu untersuchen.
Zunächst nahm Codex WebKit ins Visier, die Browser-Engine der Konsole. Der Ansatz ermöglichte erste Schritte zur Codeausführung, führte aber nicht zum gewünschten Zugriff auf privilegierte Systemmodule. Hajhamid verfolgte deshalb noch weitere Möglichkeiten.
Der Durchbruch gelang schließlich über SmileBASIC 4, eine Programmierumgebung für die ursprüngliche Nintendo Switch, die auch auf der Switch 2 läuft. Dort fand Codex einen Fehler bei der Verarbeitung von Ganzzahlen. Durch einen 32-Bit-Integer-Overflow konnte die Berechnung von Array-Positionen fehlerhaft ausfallen. Das ermöglichte eine Speicheroperation außerhalb des vorgesehenen Bereichs.
Damit war das Ziel jedoch noch nicht erreicht. Hajhamid musste weitere Schwachstellen untersuchen und zu einer Angriffskette verbinden. In seinem technischen Bericht zu ns2jb beschreibt er einen zusätzlichen Fehler im Dateisystemmodul fs. Bei der Normalisierung von Dateipfaden konnte ein Pufferüberlauf auftreten. Diesen nutzte er, um Lese- und Schreibzugriffe auf Speicher zu erlangen. Erst mit weiteren Schritten gelang es, nativen Code mit den Berechtigungen privilegierter Systemmodule auszuführen.
Die Entwicklung des Jailbreaks dauerte rund zwei Wochen. Codex unterstützte Hajhamid dabei, einzelne Schwachstellen zu finden, zu analysieren und miteinander zu verknüpfen.
Codex hilft beim Modden von Mario Kart World
Wie sich der Jailbreak nutzen lässt, demonstrierte Hajhamid mit Mario Kart World, einem exklusiv für die Switch 2 erschienenen Rennspiel. Codex modifizierte das Spiel und integrierte Figuren, die im regulären Spiel nicht zur Auswahl stehen. Zu sehen sind u.a. Cinnamoroll und Hatsune Miku. Aber auch Spielinhalte lassen sich mit dem neuen Zugang verändern.
Jailbreak gelungen, Custom Firmware fehlt
Der neue Konsolen-Hack eröffnet vielfältige Möglichkeiten wie das Ausführen eigener Programme, das Sichern von Spielständen und den Zugriff auf verschiedene Hardwarefunktionen. Der Entwickler hofft, dass weitere Forscher und Homebrew-Entwickler auf seiner Arbeit aufbauen werden.
Es handelt es sich dabei um einen tethered Jailbreak, das heißt, nach dem Ausschalten oder einem Neustart muss der Exploit erneut ausgeführt werden. Eine dauerhaft entsperrte Konsole bietet ns2jb daher bislang nicht. Außerdem ist der Ansatz auf die Systemsoftware 23.0.1 ausgerichtet. Ob andere Firmware-Versionen ebenfalls betroffen sind, ist damit nicht belegt.
Zudem fehlt eine fertige Custom Firmware. Eine solche Lösung würde den Einstieg in die Homebrew-Szene nochmals vereinfachen und zusätzliche Möglichkeiten schaffen. Hajhamid nennt die Entwicklung einer solchen Firmware als eines der möglichen nächsten Ziele.
Für Nintendo ist die Art der Schwachstelle ebenfalls relevant. Anders als bei einem Fehler im unveränderlichen Boot-ROM lässt sich ein softwarebasierter Exploit grundsätzlich durch Änderungen an der Firmware oder an betroffenen Komponenten schließen. Ob und wann Nintendo reagiert, ist bisher noch offen.
