Le développeur edisnord vient de publier relapse-y2jb, un portage de l’exploit kernel Relapse destiné à Y2JB, l’environnement permettant d’utiliser des payloads depuis l’application YouTube sur PS5. L’objectif est de transposer le fonctionnement de Relapse, initialement prévu pour un hôte WebKit, directement dans l’application YouTube modifiée par Y2JB. Le projet permet ainsi de lancer le jailbreak depuis YouTube, sans passer par le navigateur et sans utiliser de DNS blocker.
Relapse débarque sur Y2JB
Le projet repose sur la vulnérabilité aio_multi_wait use-after-free exploitée par Relapse. Le développeur précise qu’il s’agit d’un portage : le kernel stage, les tables d’offsets et l’exploit Relapse lui-même proviennent du projet original. La partie spécifique à relapse-y2jb concerne principalement l’adaptation de l’hôte afin de pouvoir exécuter l'exploit depuis l'environnement Y2JB. Le projet prend en charge les firmwares PS5 7.00 à 13.60. Le développeur indique notamment avoir testé le fonctionnement sur un PS5 en 12.60, avec Y2JB 1.6 et l'application YouTube 01.000.030.
Un jailbreak depuis YouTube
Le fonctionnement repose sur l'envoi de relapse.js comme payload Y2JB. Une fois l'exploit exécuté, celui-ci permet d'obtenir le jailbreak ainsi qu'un ELF loader accessible sur le port 9021. Le README indique un temps d'exécution d'environ trois secondes pour le jailbreak, avec la progression affichée côté PC et également relayée sur le port UDP 5050. Une fois le jailbreak obtenu, les payloads ELF peuvent être chargés via le serveur prévu à cet effet.
La grosse nouveauté : fermer YouTube sans faire planter la PS5
Le développement ne s'arrête toutefois pas au simple portage de Relapse. Une première version du portage présentait un problème important : fermer l'application YouTube après le jailbreak pouvait provoquer un crash de la console. Le README indiquait alors de laisser l'application ouverte. Le dernier commit du projet apporte justement une correction à ce problème.
Le développeur a identifié que l'exploitation du kernel laisse les structures de certains pipes dans un état particulier. Lors de la fermeture du processus, le nettoyage effectué par le kernel pouvait alors provoquer une libération mémoire incorrecte.
Le nouveau « seal »
Pour résoudre le problème, relapse-y2jb introduit un composant baptisé seal. Il s'agit de seal/pipeclean.elf, chargé après le jailbreak. Son rôle est de restaurer les valeurs originales des buffers et de leur taille pour les pipes utilisés par l'exploit, puis de vérifier le résultat. Cette restauration permet ensuite de fermer normalement YouTube tout en conservant le jailbreak et les services déjà chargés. Le projet indique notamment que le serveur 9021 et le gestionnaire de payloads restent disponibles après la fermeture de l'application.
Les tests mentionnés par le développeur comprennent notamment une vérification de restauration sur les deux pipes, suivie d'un test de sortie distante et de fermeture de l'application depuis l'interface utilisateur, avec la console restant opérationnelle.
Une évolution importante du portage
Cette correction rend le portage beaucoup plus pratique dans son utilisation quotidienne. L'application YouTube n'a plus besoin de rester ouverte après l'exploitation, ce qui était l'une des limitations du premier fonctionnement de relapse-y2jb.
Le projet conserve par ailleurs une architecture relativement claire :
- Relapse fournit l'exploit kernel et les tables d'offsets
- Y2JB fournit l'environnement hôte et le système de chargement
- relapse-y2jb adapte Relapse à cet environnement
- le nouveau seal restaure l'état nécessaire avant la fermeture de l'application
Le développeur précise également que le projet n'est pas présenté comme un nouvel exploit original, mais comme un portage des travaux existants, avec les différents projets et développeurs crédités dans le README.
À retenir
Avec relapse-y2jb, l'exploit Relapse peut désormais être utilisé depuis Y2JB, directement à travers l'application YouTube, sur les firmwares 7.00 à 13.60. La mise à jour publiée aujourd'hui apporte surtout une correction particulièrement intéressante : grâce au nouveau seal, il devient possible de fermer YouTube après le jailbreak sans provoquer le crash qui affectait auparavant le portage. Le projet est disponible sur GitHub et reste présenté comme un outil destiné à la recherche et à l'expérimentation sur du matériel appartenant à l'utilisateur.
Téléchargement : Relapse porté sur Y2JB
