SSD Secure Disclosure представила двухэтапную цепочку эксплойтов, позволяющую получить полный доступ к ядру Android на устройствах с прошивкой модема Unisoc через видеозвонок VoLTE, при этом производитель чипсета не выпустил исправление.
Информационное сообщение от 17 августа является вторым этапом цепочки, начавшейся в марте 2026 года, когда SSD раскрыла возможность RCE в той же прошивке через некорректно сформированный SIP-видеозвонок. Исследование проводилось независимым исследователем под ником 0x50594d.
Для завершения всей цепочки злоумышленнику необходимо контролировать частную сотовую сеть 4G, а жертве - ответить на входящий видеозвонок. Уязвимость, позволяющая повысить привилегии не имеет идентификатора CVE.
Она кроется в прошивке модема, используемой как минимум тремя чипсетами Unisoc, в том числе T606, установленным в Motorola E13, T612, установленным в Realme C33, и T7250, установленным в Xiaomi Redmi A5.
Unisoc, шанхайский производитель микросхем, ранее известный как Spreadtrum, поставляет компоненты таким брендам, как Motorola, Realme и Xiaomi, для устройств, продаваемых более чем в 140 странах.
Исследователи подтвердили наличие уязвимости, позволяющей повысить привилегии, на устройстве Motorola E13 с патчем безопасности от февраля 2025 года и на Xiaomi Redmi A5 с патчем от января 2026 года.
Для запуска всей цепочки атак сначала необходимо получить доступ к модему на уровне уязвимости RCE, обнаруженной в марте 2026 года, а также контролировать инфраструктуру VoLTE, управляемую злоумышленником, и найти жертву, которая ответит на входящий видеозвонок.
Исследователи создали свою экспериментальную среду, используя открытую сеть 4G, программно-определяемое радио для интерфейса 4G и специализированные SIM-карты.
После запуска кода на модеме этап повышения привилегий осуществляется путем записи конфигурации с полным доступом в блок защиты памяти ARM модема через регистры сопроцессора, отображая все 32-битное физическое адресное пространство как доступное для чтения, записи и выполнения из контекста модема, включая страницы, где находится ядро Android.
Главным условием является наличие общего физического пространства памяти между процессором модема и процессором приложения в рамках SoC Unisoc, без каких-либо аппаратных ограничений, препятствующих изменению памяти ядра кодом контекста модема.
Исследователи подтвердили выполнение кода на уровне ядра на тестовом устройстве, проанализировав вывод логов ядра, который показал, что внедренная полезная нагрузка была выполнена.
В бюллетене безопасности Android от августа 2026 года, опубликованном до этого сообщения, уязвимость повышения привилегий не рассматривается, и ни один бюллетень безопасности UNISOC ее не освещает.
В отдельном уведомлении UNISOC от октября 2025 года, CVE-2025-31718 (CVSS: 7,5), описывается уязвимость проверки входных данных модема в том же семействе чипсетов, хотя неясно, соответствует ли оно уведомлению о SSD-накопителях от марта 2026 года. Так что в настоящее время владельцам устройств недоступны никакие исправления или средства защиты.
Ранее в ноябре 2025 года Лаборатория Касперского публиковала независимое исследования, в котором была задокументирована аналогичная архитектурная проблема на другом чипе Unisoc, UIS7862A, используемом в автомобильных головных устройствах.
После получения доступа к выполнению кода модема через отдельную уязвимость, в ЛК также смогли получить доступ к работающему ядру Android и модифицировать его, используя общее физическое адресное пространство модема и процессора приложений.
ЛК описала один из путей горизонтального перемещения данных, связанный со скрытым периферийным устройством прямого доступа к памяти, как проблему аппаратного уровня, которую невозможно устранить с помощью обновления.
Проблема с блоком защиты памяти, используемым в цепочке SSD, в принципе может быть решена путем изменения прошивки, хотя UNISOC пока не выпустила подобного обновления.
