Il developer SpecterDev ha aggiornato la catena di exploit UMTX riuscendo ad aggiungere il supporto per i firmware inferiori alla versione 2.xx della console PlayStation 5.

La vulnerabilità UMTX è stata segnalata da Synacktiv e riguarda una falla di tipo use-after-free nel sistema operativo della console PS5, che si basa su una versione personalizzata di FreeBSD.

Added 1.xx firmware support to UMTX exploit chain. https://t.co/WY5XIhhoMA

— Specter (@SpecterDev) September 22, 2024

Questa vulnerabilità è stata sfruttata da SpecterDev utilizzando una tecnica che combina elementi del lavoro svolto dal team fail0verflow e flatz, noti nomi nella scena dell’hacking delle console.

L’exploit utilizza la vulnerabilità UAF per ottenere una mappatura di lettura/scrittura arbitraria nello stack di un thread del kernel, consentendo di bypassare le restrizioni di sicurezza della console.

Il cuore dell’exploit si basa su un approccio ROP (Return-Oriented Programming) attraverso il WebKit, sfruttando una serie di gadget e processi per manipolare il kernel e stabilire un primitivo di lettura/scrittura arbitraria.

Inizialmente, l’exploit ottiene una mappatura temporanea nello stack di un thread del kernel, permettendo di leggere e scrivere dati arbitrari. Questo è reso possibile dalla manipolazione di pipe e socket IPv6, una tecnica già utilizzata nel precedente exploit IPV6 PS5 kernel.

L’obiettivo finale è quello di eseguire un payload, attraverso un ELF Loader che ascolta sulla porta 9021 della PS5, consentendo l’invio di payload tramite TCP.

Caratteristiche tecniche dell’exploit

UMTX Jailbreak fornisce le seguenti capacità principali:

1. Lettura/scrittura arbitraria del kernel: L’exploit permette di leggere e scrivere in aree della memoria del kernel, offrendo accesso privilegiato per modifiche profonde al sistema.
2. Abilitazione del menu delle impostazioni di debug: Una volta eseguito l’exploit, il menu di debug viene attivato, permettendo all’utente di accedere a opzioni nascoste della PS5.
3. Ottenimento dei privilegi di root: L’exploit garantisce il massimo livello di accesso al sistema, consentendo l’esecuzione di codice non autorizzato al di fuori del sandboxing di sicurezza.
4. Caricamento di payload ELF: L’ELF Loader esegue payload inviati alla PS5, offrendo flessibilità per lo sviluppo di software personalizzato e l’installazione di mod.

Limitazioni dell’exploit

Nonostante i progressi significativi, UMTX presenta alcune limitazioni tecniche che attualmente impediscono un controllo completo del sistema:

• Assenza di esecuzione del codice nel kernel: La protezione Execute-Only Memory (XOM) implementata nel kernel della PS5 impedisce la lettura diretta delle pagine di codice del kernel, rendendo impossibile eseguire codice personalizzato nel kernel stesso.
• Protezione dell’hypervisor: L’hypervisor della PS5 rafforza ulteriormente la sicurezza impedendo la scrittura nel kernel e bloccando eventuali modifiche alla memoria protetta.
• Incapacità di disabilitare CFI, SMAP e SMEP: La Control Flow Integrity (CFI), insieme a meccanismi come Supervisor Mode Access Prevention (SMAP) e Supervisor Mode Execution Prevention (SMEP), restano attivi, limitando ulteriormente la manipolazione diretta del sistema.

Inoltre, i firmware superiori alla versione 6.00 non sono supportati, poiché il WebKit exploit necessario per ottenere l’accesso iniziale è stato patchato.

Anche sui firmware superiori al 3.00, l’exploit richiede modifiche aggiuntive per bypassare le nuove mitigazioni implementate da Sony.

Compatibilità e firmware supportati

Per i firmware inferiori alla versione 3.00, dovrebbero essere necessari solo gli offset dei gadget. Attualmente sono supportati i seguenti firmware:

• 1.05
• 1.10
• 1.11
• 1.12
• 1.13
• 1.14
• 2.00
• 2.20
• 2.25
• 2.26
• 2.30
• 2.50

Firmware 6.00 e successivi richiedono un nuovo WebKit exploit per accedere alla fase di lettura/scrittura nel kernel.

Procedura di Utilizzo

Per eseguire l’exploit, gli utenti devono seguire una serie di passaggi tecnici, inclusi la configurazione di un server DNS e HTTPS e l’utilizzo di un host WebKit per caricare l’exploit. Di seguito i passaggi chiave:

1. Configura fakedns tramite dns.conf per puntare manuals.playstation.net all’indirizzo IP del tuo PC.
2. Eseguire fakedns: python fakedns.py -c dns.conf.
3. Eseguire il server HTTPS: python host.py.
4. Andare nelle impostazioni di rete avanzate della PS5 e impostare il DNS primario all’indirizzo IP del PC, lasciando il secondario a 0.0.0.0.
   1. A volte il manuale non si carica comunque e potrebbe essere necessario un riavvio, non si sa bene il motivo, è davvero strano.
5. Andare al manuale utente nelle impostazioni e accettare l’avviso per il certificato non attendibile, quindi eseguirlo.
6. Opzionale: Decommentare il codice di dump del kernel .data ed eseguire lo script del dump server (nota: l’indirizzo/porta devono essere sostituiti in exploit.js).

Sviluppi futuri e lavori in corso

SpecterDev ha delineato alcuni sviluppi futuri per migliorare e ampliare l’exploit:

• Aggiornamento della strategia di exploit per firmware >= 3.00 per bypassare le nuove mitigazioni.
• Sviluppo di un nuovo WebKit exploit per firmware superiori al 6.00, consentendo l’accesso ai sistemi più recenti.

Changelog

• Aggiunto il supporto per i firmware 1.05, 1.10, 1.11, 1.12, 1.13, 1.14.
• Varie correzioni minori.

Download: Source code PS5 UMTX Jailbreak v1.1

Fonte: x.com