Eksploit Perisian Switch 2 Jalankan Mod Mario Kart World, tetapi Terpadam Selepas Konsol Dihidupkan Semula

Aplikasi pengaturcaraan membuka laluan ke Switch 2

Penyelidik keselamatan Sammy Hajhamid, yang dikenali dalam talian sebagai pepsipu, telah menunjukkan eksploit perisian untuk Nintendo Switch 2 yang menjalankan perisian tegar 23.0.1, dengan menggunakan perlumbaan Mario Kart World yang diubah suai untuk memperlihatkan perkara yang boleh dilakukan melalui akses itu. Watak termasuk Cinnamoroll, Hatsune Miku dan Peter Griffin muncul dalam permainan tanpa pemasangan cip mod perkakasan.

Alat yang dinamakan ns2jb itu menggabungkan kelemahan dalam aplikasi pengaturcaraan Switch asal dengan kerentanan dalam perkhidmatan sistem fail konsol. Hajhamid berkata, ia membolehkan pelaksanaan kod natif dengan keizinan beberapa perkhidmatan sistem, sekali gus membuka peluang kepada aplikasi tidak rasmi, pengubahsuaian permainan dan penyalinan data permainan tersimpan daripada konsol.

Batasan utamanya mudah: akses itu hilang apabila konsol dimulakan semula. Pengguna perlu mencetuskan eksploit itu sekali lagi selepas setiap but semula, dan buat masa ini ia tidak menyediakan perisian tegar tersuai kekal, iaitu versi alternatif perisian sistem konsol yang kekal terpasang.

Catatan teknikal Hajhamid bertarikh 18 Oktober 2026, manakala demonstrasi awamnya muncul pada 22 Oktober. Beliau mengenal pasti 23.0.1 sebagai perisian tegar terkini ketika itu. Penyelidikan itu dilaporkan mengambil masa kira-kira dua minggu dan melibatkan alat pengekodan Codex oleh OpenAI, selain usaha besar oleh pembangun itu sendiri.

Nintendo belum memberikan komen secara terbuka ketika laporan mengenai demonstrasi itu diterbitkan. SmileBASIC 4, aplikasi pengaturcaraan yang digunakan sebagai titik masuk, dilaporkan telah dikeluarkan daripada beberapa eShop serantau, sekali gus menjadikan akses kepada perisian yang diperlukan sebagai kebimbangan segera bagi mereka yang mahu menyiasat eksploit itu.

Perkara yang ditunjukkan oleh demonstrasi Mario Kart

Mario Kart World memberikan hasil yang paling ketara: pelumba yang dikenali disertai watak daripada permainan di luar Nintendo. Demonstrasi itu menampilkan Cinnamoroll, Hatsune Miku, Peter Griffin dan RED, burung Angry Birds berwarna merah. Steve daripada Minecraft turut muncul dalam keterangan tentang permainan yang diubah suai itu.

Perubahan yang lebih penting berlaku di sebalik perlumbaan. Pelaksanaan kod natif bermaksud arahan dijalankan terus pada pemproses konsol, dan bukannya terhad kepada arahan yang biasanya dibenarkan oleh permainan atau aplikasi pengaturcaraan. Bahagian mesin yang boleh dicapai bergantung pada keizinan yang diberikan kepada kod tersebut.

Hajhamid, seorang penyelidik keselamatan yang dikenal pasti sebagai mahasiswa prasiswazah Caltech, menerangkan kegunaan akses itu:

Ini membolehkan kami menjalankan homebrew, merekayasa songsang dan mengubah suai permainan Switch 2, menyandarkan fail simpanan daripada Switch, serta mengakses kebanyakan peranti persisian Switch 2 melalui MMIO.

Homebrew merujuk kepada perisian tidak rasmi yang dibuat di luar sistem pengedaran yang diluluskan oleh pengeluar konsol. Kejuruteraan songsang bermaksud meneliti cara perisian sedia ada berfungsi. MMIO, singkatan bagi input/output dipetakan memori, ialah kaedah perisian berkomunikasi dengan perkakasan melalui alamat memori yang ditetapkan.

Keupayaan ini penting atas sebab yang berbeza kepada kumpulan pengguna yang berlainan. Pemain mungkin mahukan salinan fail simpanan secara berasingan, pengubah suai mungkin mahu menggantikan watak, manakala penyelidik mungkin ingin memeriksa perkhidmatan sistem. Setiap satunya bergantung pada akses yang biasanya tidak diberikan kepada permainan biasa.

Bagaimana aplikasi Switch lama menjadi titik masuk

SmileBASIC 4 membolehkan pengguna menulis dan menjalankan program pada Nintendo Switch asal. Switch 2 boleh menjalankan perisian itu melalui keserasian ke belakang, iaitu ciri yang membolehkan permainan daripada konsol terdahulu berfungsi pada penggantinya. Hubungan itu memberi Hajhamid laluan ke mesin baharu melalui perisian lama.

Kelemahan pertama melibatkan limpahan integer dalam pentafsir SmileBASIC, iaitu komponen yang membaca dan melaksanakan arahan pengaturcaraan. Limpahan integer berlaku apabila pengiraan melebihi julat yang diperuntukkan komputer untuk sesuatu nombor, menyebabkan hasilnya berpusing semula kepada nilai lain.

Dalam kes ini, pengiraan untuk menyemak operasi pada tatasusunan, iaitu senarai nilai tersimpan, boleh berpusing menjadi nombor negatif. Semakan itu kemudian menerima operasi yang sepatutnya ditolak. Salinan memori yang dilakukan selepas itu memindahkan data ke luar kawasan yang ditetapkan.

Hajhamid menerangkan bahawa beliau menggunakan tingkah laku itu untuk membuat program menganggap sebahagian tatasusunan sebagai rentetan. Kekeliruan itu membuka jalan untuk membaca dan mengubah memori di luar sempadan yang ditetapkan bagi program. Penyelidikan awal boleh dilakukan pada Switch asal sebelum digunakan sebagai sebahagian daripada rantaian eksploit Switch 2.

SmileBASIC sebelum ini pernah terlibat dalam eksploit homebrew pada Nintendo 3DS. Dalam kes ini, keistimewaannya ialah aplikasi lama itu dapat menyediakan peringkat pertama serangan terhadap konsol yang lebih baharu.

Kelemahan kedua mencapai perkhidmatan sistem fail

Akses dalam SmileBASIC hanyalah permulaan. Hajhamid kemudian menyasarkan perkhidmatan sistem fail terbina dalam, dikenali sebagai fs, yang mengendalikan operasi storan. Akses kepada perkhidmatan dengan keizinan lebih luas diperlukan untuk melepasi sekatan aplikasi pengaturcaraan itu.

Kerentanan kedua berkaitan dengan penyeragaman laluan. Laluan fail memberitahu perisian tempat sesuatu fail disimpan; penyeragaman mengemas laluan itu kepada format piawai sebelum digunakan oleh sistem. Hajhamid menerangkan keadaan apabila perkhidmatan itu menyalin laluan ke dalam penimbal sementara yang terlalu kecil.

Penimbal ialah kawasan memori yang dikhaskan. Apabila data melimpah keluar daripada sempadannya, data itu boleh menulis ganti maklumat berdekatan. Hajhamid menggunakan limpahan itu untuk mempengaruhi objek cache storan, lalu membuka jalan untuk membaca dan menulis memori dalam perkhidmatan sistem fail.

Beliau kemudian menerangkan bagaimana identiti proses yang direkodkan bagi sambungan SmileBASIC diubah, sekali gus memperoleh keizinan sistem fail yang lebih luas. Hal itu membolehkannya menyalin storan dalaman dan kod modul sistem biasa untuk diperiksa. Modul sistem, atau sysmodule, ialah perkhidmatan yang menjalankan tugas bagi sistem pengendalian.

Menurut Hajhamid, keupayaan ns2jb yang terhasil termasuk menjalankan kod natif sebagai modul sistem biasa dan sebagai modul sistem fail terbina dalam. Oleh itu, rantaian ini mempunyai dua peringkat berbeza: akses awal melalui SmileBASIC dan kerentanan kedua yang memberikan akses lebih luas.

Codex membantu, tetapi kerja itu mengambil masa dua minggu

Hajhamid menggunakan Codex oleh OpenAI sepanjang penyelidikan, dengan persediaan tersuai yang membolehkan ejen AI menghantar input pengawal kepada konsol dan memeriksa output videonya. Peranti JetKVM menyambungkan input pengawal melalui USB dan merakam video melalui HDMI.

Mekanisme suis lampu Bluetooth menjadi sebahagian persediaan yang luar biasa tetapi praktikal: ia menekan butang kuasa konsol secara fizikal selepas konsol ranap. Konsol berulang kali ranap ialah kemungkinan biasa dalam penyelidikan memori seperti ini, maka memulakan semula perkakasan merupakan sebahagian daripada proses ujian.

Menurut catatan Hajhamid, Codex menemui limpahan integer yang berguna dalam SmileBASIC. Kerja itu turut melibatkan penyiasatan perkhidmatan sistem, pemeriksaan kod dan pembangunan rantaian yang mencapai perkhidmatan sistem fail. Hajhamid sendiri menerangkan bahawa beliau menyiasat perkhidmatan itu sementara ejen AI meneroka sasaran lain.

Pembangun itu menjelaskan bahawa kapsyen berseloroh tentang sekadar menyuruh AI menjailbreak konsol bukanlah proses sebenar. Percubaan awal untuk mendapatkan pelaksanaan kod melalui laluan lain tidak berjaya, dan jailbreak itu memerlukan usaha besar selama kira-kira dua minggu.

Hajhamid berkata Codex menghasilkan pengubahsuaian Mario Kart World dalam masa sehari. Ini menunjukkan skala masa yang berbeza antara demonstrasi bersahaja itu dengan penyelidikan keselamatan di sebaliknya: perubahan watak yang dapat dilihat berlaku selepas kerja lebih sukar untuk mendapatkan akses.

Kenapa laluan pelayar ditinggalkan

WebKit, enjin pelayar yang digunakan dalam percubaan awal, menjadi sasaran awal kerana pelayar memproses kandungan rumit dan sering menarik minat penyelidik keselamatan. Persediaan Hajhamid meneroka cara mencapainya melalui portal tawanan Wi-Fi tersuai, iaitu halaman yang boleh muncul apabila peranti menyertai rangkaian.

Pendekatan itu berdepan beberapa perlindungan. Memori yang hanya boleh dilaksanakan mengehadkan pembacaan arahan boleh laksana, sekali gus menyukarkan pencarian jujukan kod yang berguna. Pengesahan penuding menyemak alamat tertentu sebelum digunakan, manakala integriti aliran kawalan menyemak sama ada sesetengah pemindahan pelaksanaan mengikut laluan yang dibenarkan.

Kerja awal pada pelayar itu berjaya mencapai bentuk kawalan yang lebih terhad, tetapi tidak membolehkan komunikasi sewenang-wenangnya dengan perkhidmatan sistem yang diperlukan untuk jailbreak yang dirancang. Oleh itu, Hajhamid meneruskan laluan SmileBASIC sementara penyelidikan pelayar diteruskan secara berasingan.

Beliau mengenal pasti penyesuaian eksploit sistem fail kepada WebKit sebagai satu kemungkinan untuk kerja seterusnya. Hal itu boleh menyediakan titik masuk yang berbeza, walaupun tiada tarikh keluaran diberikan untuk versi sedemikian. Beliau turut berkata eksploit itu telah diuji pada Switch asal tetapi belum lagi disediakan dalam bentuk pakej untuk konsol tersebut.

Keperluan pengguna dan perkara yang terpadam selepas mula semula

Laluan yang diterangkan menggunakan SmileBASIC 4 versi 4.4.9, yang dilaporkan berharga kira-kira $25 di eShop AS. Seorang lagi pengubah suai berkata aplikasi itu mungkin tidak benar-benar diperlukan, tetapi rantaian yang ditunjukkan bermula dengan aplikasi pengaturcaraan tersebut. Keperluan praktikal bagi laluan alternatif masih belum dipastikan.

Versi percubaan percuma dari Jepun turut mendapat perhatian apabila orang ramai mencari cara untuk mendapatkan perisian itu. Versi tersebut dilaporkan tidak serasi dengan eksploit berkenaan. Oleh itu, versi percubaan dan versi berbayar dilaporkan mempunyai kegunaan yang berbeza bagi kaedah khusus ini.

Ns2jb diterangkan sebagai eksploit bertambat. Dalam kes ini, eksploit itu perlu dilancarkan semula daripada permainan selepas setiap kali konsol dihidupkan. Memulakan semula konsol memadamkan eksploit aktif daripada memori dan mengembalikan proses yang terjejas kepada keadaan biasa.

Eksploit perisian dan perisian tegar tersuai kekal memberikan jenis akses yang berbeza. Ns2jb mengubah perkara yang boleh dijalankan semasa sesi aktif. Perisian tegar tersuai kekal memerlukan mekanisme tambahan yang terus berfungsi selepas konsol dimulakan semula.

Arahan semasa juga dikatakan sukar diikuti oleh pemain biasa. Oleh itu, sasaran terdekatnya ialah penyelidik dan pengubah suai berpengalaman dari segi teknikal, bukannya setiap pemilik konsol yang mahukan menu mudah untuk memasang aplikasi tidak rasmi.

Respons Nintendo dan garis masa pelancaran

Ketersediaan SmileBASIC 4 menjadi kebimbangan tidak lama selepas demonstrasi itu. Sesetengah pengguna dilaporkan membeli aplikasi tersebut dan memutuskan sambungan konsol mereka daripada internet kerana bimbang kemas kini akan menutup laluan itu. Laporan yang diterbitkan sekitar pengumuman tersebut menyebut sama ada aplikasi itu dijangka akan dikeluarkan daripada jualan atau sudah pun hilang daripada beberapa gedung serantau.

Nintendo belum mengeluarkan penjelasan rasmi atau mengumumkan tampalan dalam laporan-laporan itu. Skala pengeluaran aplikasi daripada gedung yang dilaporkan, termasuk wilayah yang terjejas, belum disahkan. Mengeluarkan aplikasi daripada jualan akan mengehadkan pembelian baharu; kemas kini sistem atau perisian pula akan menangani kod yang terdedah melalui cara berbeza.

Tarikh yang disebut dalam pengumuman dan catatan teknikal itu ialah:

• 18 Oktober 2026: Catatan teknikal Hajhamid bertarikh demikian dan mengenal pasti ns2jb sebagai eksploit perisian untuk perisian tegar 23.0.1.
• 22 Oktober 2026: Hajhamid berkongsi demonstrasi Mario Kart World secara terbuka dan mengumumkan jailbreak itu.
• Sekitar pengumuman pada 22 Oktober: Pengguna membincangkan pembelian SmileBASIC 4, sementara laporan menyebut kemungkinan atau pengeluaran sebenar aplikasi itu daripada eShop serantau.

Pembangun Geziné, yang mendedahkan kerentanan berasingan yang menjejaskan kedua-dua generasi Switch, berkata mereka telah berbual dengan pepsipu dan alat itu kelihatan sah. Geziné turut berkata pepsipu mengetahui tentang eksploit mod pengguna berasingan yang mereka bangunkan.

Hajhamid menyifatkan ns2jb sebagai eksploit Switch 2 pertama seumpamanya setakat pengetahuannya. Sumbangan terdekatnya ialah menyediakan laluan berfungsi untuk penyelidikan perisian yang lebih mendalam dan pengubahsuaian permainan, dengan batasan jelas dari segi ketahanan akses dan kemudahan penggunaan.

Perkara Utama

• Ns2jb dilaporkan berfungsi pada perisian tegar Switch 2 versi 23.0.1 tanpa cip mod perkakasan.
• Rantaian yang ditunjukkan menggabungkan kelemahan memori dalam SmileBASIC dengan kerentanan dalam perkhidmatan sistem fail.
• Sammy Hajhamid, yang dikenali sebagai pepsipu, menggunakan Codex oleh OpenAI sepanjang penyelidikan selama kira-kira dua minggu.
• Demonstrasi Mario Kart World menampilkan watak tersuai termasuk Cinnamoroll, Hatsune Miku dan Peter Griffin.
• Eksploit itu terpadam selepas konsol dimulakan semula dan buat masa ini tidak menyediakan perisian tegar tersuai kekal.
• Titik masuk yang diterangkan menggunakan SmileBASIC 4 versi 4.4.9; pengeluaran aplikasi daripada gedung serantau dilaporkan, manakala Nintendo belum memberikan komen secara terbuka.