Nintendo hat eine „schwerwiegende“ Schwachstelle gepatcht, die in einigen Online-Switch-, 3DS- und Wii U-Spielen gefunden wurde

Aktualisieren [Fri 3rd Mar, 2023 15:30 GMT]: Nintendo hat bekannt gegeben, dass es mit der vorübergehenden Notwartung an Splatoon und Mario Kart 8 für die Wii U begonnen hat.

Obwohl dies unbestätigt ist, wird stark spekuliert, dass die Wartung – die zum Zeitpunkt des Verfassens dieses Artikels keinen Zeitrahmen hat – mit dem „ENLBufferPwn“-Exploit verknüpft ist, der im folgenden Artikel beschrieben wird.

Zur Erinnerung: Der Exploit ermöglicht es Angreifern, die Kontrolle über die Zielkonsolen Wii U und 3DS zu erlangen, indem sie sich einfach online mit Spielern verbinden.

Hoffentlich wird die Wartung verhindern, dass der Exploit in Zukunft verwendet wird, aber es ist derzeit nicht bekannt, wann genau die Online-Dienste für Splatoon und Mario Kart 8 wieder verfügbar sein werden.

Originaler Artikel [Wed 28th Dec, 2022 11:15 GMT]:

Kürzlich wurde eine schwerwiegende Schwachstelle gefunden, die mehrere Nintendo-Konsolen betrifft und möglicherweise unbefugten Zugriff auf Switch, 3DS und Wii U über eine Vielzahl von Online-Spielen ermöglicht. Es wird berichtet, dass Nintendo seit einiger Zeit daran arbeitet, Spiele zu patchen, um den als „ENLBufferPwn“ bekannten Exploit zu eliminieren, wobei mehrere Updates bereits live sind, um die Situation zu beheben (danke, Nintendo Alles).

Die Schwachstelle, die kategorisiert wurde als „Kritisch“ im Common Vulnerability Scoring System (CVSS) und ausführlich ausführlich auf GitHub von PabloMK7, Rambo6GlazUnd Fishguy6564, setzt Berichten zufolge das Gerät eines Opfers der vollständigen Fernsteuerung aus, indem es einfach ein Online-Spiel mit einem potenziellen Angreifer spielt. Das bedeutet, dass Angreifer Zugang zu vertraulichen Informationen erlangen oder Audio- und Videoaufzeichnungen machen können, indem sie Code aus der Ferne ausführen.

Die Schwachstelle wurde Nintendo in „2021/2022“ von gemeldet @Pablomf6 – der sagt, dass sie über Nintendos ein „Kopfgeld“ von 1000 Dollar erhalten haben HackerOne Programm – und es wird jetzt davon ausgegangen, dass das Unternehmen Maßnahmen ergriffen hat, um das Problem in einigen der betroffenen Spiele zu beheben, einschließlich Mario Kart 7, das kürzlich nach mehr als einem Jahrzehnt aktualisiert wurde.

Es scheint, dass die meisten hochkarätigen Switch-Titel bereits behoben wurden, aber es sieht so aus, als müssten Mario Kart 8 und Splatoon auf Wii U noch angegangen werden und könnten immer noch von der Schwachstelle betroffen sein.

Hier ist eine Liste der betroffenen Titel gemäß der GitHub-Seite:

• Mario Kart 7 (behoben in v1.2)
• Mariokart 8
• Mario Kart 8 Deluxe (behoben in v2.1.0)
• Animal Crossing: New Horizons (behoben in v2.0.6)
• ARMS (behoben in v5.4.1)
• Splatoon
• Splatoon 2 (behoben in v5.5.1)
• Splatoon 3 (gefixt Ende 2022, genaue Version unbekannt)
• Super Mario Maker 2 (behoben in v3.0.2)
• Nintendo Switch Sports (gefixt Ende 2022, genaue Version unbekannt)

Es wird spekuliert, dass auch andere Spiele von der Schwachstelle betroffen sein könnten, obwohl dies derzeit unbestätigt ist.

Um einen Blick auf den Exploit in Aktion zu werfen, werfen Sie einen Blick auf das folgende Video von PabloMK7, das einen Angreifer (linke Konsole) zeigt, der aus der Ferne ein unmodifiziertes 3DS (rechte Seite) übernimmt, indem er eine Return-Oriented Programming (ROP)-Nutzlast kopiert und ausführt entfernt. Die Opferkonsole wird dann gezwungen, ein benutzerdefiniertes Firmware-Installationsprogramm auszuführen, und es wird angenommen, dass die gleiche Technik es einem Angreifer ermöglichen würde, vertrauliche Informationen von einer Remote-Konsole zu stehlen. Zum Glück wurde dies jetzt behoben und kann nicht mehr ausgeführt werden, wenn Sie die neueste Version der Software ausführen, also aktualisieren Sie sie unbedingt, wenn Sie dies nicht getan haben!

Nintendos relativ begrenzter Ansatz für Online-Spiele scheint seine Vorteile zu haben, wenn es um Sicherheitsprobleme wie diese geht, wie von betont @LuigiBlood Diskussion über den Exploit:

Die beiden erwähnten Spiele sind Mario Kart 8 und Splatoon. Wenn Sie also immer noch einen dieser Titel online auf Ihrer Wii U spielen, empfehlen wir, äußerste Vorsicht walten zu lassen oder sie ganz zu vermeiden, bis weitere Informationen verfügbar sind. Wir werden diesen Artikel aktualisieren, wenn weitere Details bekannt werden.

Was halten Sie davon? Teilen Sie Ihre Gedanken in den Kommentaren unten mit.