Unisoc-Modems: Eine VoLTE-Angriffskette kann bis zum Android-Kernel führen

Vom SIP-Anruf zur vollständigen Gerätekontrolle

SSD Secure Disclosure hat am 17. August 2026 die zweite Phase einer Angriffskette veröffentlicht, die von einem Unisoc-Modem bis zur Codeausführung mit Kernel-Privilegien unter Android führen kann.

Der Angriff beginnt mit einer bereits im März 2026 veröffentlichten Schwachstelle. Ein Angreifer kann über einen speziell präparierten SIP-Videoanruf Remote Code Execution im Modem erreichen. Die neue Untersuchung zeigt, wie sich dieser erste Zugriff zu einer Kompromittierung des gesamten Betriebssystems ausbauen lässt.

Dafür müssen jedoch bestimmte Voraussetzungen erfüllt sein:

• ein vom Angreifer kontrolliertes privates 4G-Mobilfunknetz;
• die Ausnutzung der RCE-Schwachstelle im Modem;
• ein vom Angreifer vorbereiteter VoLTE-Videoanruf;
• die Annahme des eingehenden Anrufs durch das Opfer.

Der unabhängige Forscher, der die Analyse durchgeführt hat, verwendet den Handle 0x50594d. SSD zufolge blieb der Versuch, Unisoc per E-Mail und LinkedIn zu kontaktieren, erfolglos – eine Schwierigkeit, die bereits bei der vorherigen Veröffentlichung aufgetreten war.

Fehler bei der Isolation zwischen Modem und Application Processor

Die Privilegieneskalation ist als CWE-1189, „Improper Isolation of Shared Resources on a System-on-a-Chip“, klassifiziert. Zum Zeitpunkt der Veröffentlichung liegt noch keine CVE-Kennung vor.

Das Problem ergibt sich aus der Architektur bestimmter Unisoc-SoCs. Modemprozessor und Application Processor teilen sich den physischen Speicheradressraum. Die Hardware setzt daher keine ausreichende Barriere durch, um den Zugriff von Modem-Code auf den vom Android-System verwendeten Speicher zu verhindern.

Nachdem der Angreifer Code im Modem ausgeführt hat, verändert er die Konfiguration der ARM Memory Protection Unit, indem er auf Coprozessorregister zugreift. Dadurch wird der gesamte 32-Bit-Adressraum des physischen Speichers mit Lese-, Schreib- und Ausführungsrechten abgebildet.

Zu den erreichbaren Bereichen gehören auch die Seiten, die den Android-Kernel enthalten. Der im Modem ausgeführte Code kann somit Kernel-Strukturen und -Instruktionen direkt verändern und die übliche Isolation zwischen den Gerätekomponenten umgehen.

Zur Überprüfung des Ergebnisses bauten die Forscher ein quelloffenes 4G-Core-Netz, ein Software-Defined Radio und speziell konfigurierte SIM-Karten auf. Die Ausführung des Kernel-Level-Payloads wurde in den Kernel-Logs des Geräts bestätigt.

Es handelt sich daher nicht lediglich um die Kontrolle des Modems. Das potenzielle Ausmaß umfasst die privilegierte Kontrolle des Android-Systems und geht damit deutlich über eine auf Mobilfunkfunktionen beschränkte Kompromittierung hinaus.

Verifizierte Chipsätze und Smartphones

Der Fehler befindet sich in der von mindestens drei Chipsätzen gemeinsam genutzten Modem-Firmware:

• Unisoc T606, verbaut im Motorola E13;
• Unisoc T612, verbaut im Realme C33;
• Unisoc T7250, verbaut im Xiaomi Redmi A5.

Unisoc, früher unter dem Namen Spreadtrum bekannt, liefert Komponenten an verschiedene Hersteller, darunter Motorola, Realme und Xiaomi. Laut Advisory werden die betroffenen Geräte in mehr als 140 Ländern vertrieben.

Die Eskalation wurde auf zwei konkreten Konfigurationen verifiziert:

• einem Motorola E13 mit dem Sicherheitsupdate von Februar 2025;
• einem Xiaomi Redmi A5 mit dem Sicherheitsupdate von Januar 2026.

Dass der Nachweis auf diesen Versionen durchgeführt wurde, erlaubt keine automatische Aussage darüber, welche weiteren Modelle oder Firmware-Versionen verwundbar sind. Eine vollständige Liste der betroffenen Geräte ist nicht bekannt.

Fehlende Patches und verwandte Schwachstellen

Das Android Security Bulletin für August 2026 behandelt die beschriebene Privilegieneskalation nicht. Auch ein separates Unisoc-Sicherheitsbulletin zu diesem Problem ist nicht verfügbar.

Zum Zeitpunkt der Veröffentlichung wurde kein korrigierendes Firmware-Update angekündigt. Patches oder betriebliche Maßnahmen, die Besitzer direkt anwenden könnten, sind nicht bekannt.

Ein separates, im Oktober 2025 veröffentlichtes Unisoc-Advisory beschreibt CVE-2025-31718, eine Schwachstelle bei der Eingabevalidierung im Modem derselben Chipsatzfamilie. Das Problem hat einen CVSS-Score von 7.5 und den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.

Es ist nicht geklärt, ob CVE-2025-31718 mit der von SSD im März 2026 veröffentlichten RCE-Schwachstelle identisch ist. Die beiden Fehler sollten daher nicht als dieselbe Schwachstelle behandelt werden.

Die Untersuchung folgt auf eine im November 2025 veröffentlichte unabhängige Studie von Kaspersky ICS CERT zum Unisoc-Chipsatz UIS7862A, der in Fahrzeug-Headunits eingesetzt wird. Auch dort konnten die Forscher ausgehend von einem Modemzugriff über den gemeinsam genutzten physischen Speicher den Android-Kernel erreichen und verändern.

Kaspersky identifizierte außerdem einen auf einem versteckten DMA-Gerät basierenden Pfad für laterale Bewegungen. Dabei handelt es sich um ein Hardwareproblem, das sich nicht durch ein einfaches Software-Update beheben lässt. Die von SSD analysierte Methode nutzt dagegen die Memory Protection Unit und kann grundsätzlich per Firmware korrigiert werden.

Ein anderer früherer Fall ist CVE-2022-20210, eine Unisoc-Schwachstelle mit einem CVSS-Score von 9.8, die vom Hersteller behoben und über das Android Security Bulletin verteilt wurde. Eine vergleichbare Garantie besteht für die im Jahr 2026 veröffentlichten Schwachstellen jedoch nicht.

Maßnahmen für Nutzer und Administratoren

Es gibt keine bestätigten technischen Workarounds, mit denen sich der Fehler deaktivieren oder das Modem isolieren lässt. Nutzer der betroffenen Modelle sollten daher regelmäßig nach Updates von Motorola, Realme und Xiaomi suchen und dabei sowohl die Android-Version als auch das Sicherheits-Patch-Level überprüfen.

Die Angriffskette setzt allerdings mehrere nicht triviale Bedingungen voraus. Der Angreifer muss ein kompatibles privates 4G-Netz kontrollieren, den ersten Zugriff auf das Modem erlangen und das Opfer dazu bringen, den VoLTE-Videoanruf anzunehmen. Das Briefing nennt weder aktive Kampagnen noch einen öffentlichen Einsatz des Exploits gegen reale Nutzer.

Die Privilegieneskalation ist derzeit nicht im Known Exploited Vulnerabilities (KEV)-Katalog der CISA aufgeführt. Daher gibt es weder ein Aufnahmedatum noch eine operative Frist für die Behebung.

In den vergangenen 90 Tagen wurden CVE-2026-11645 am 9. Juni 2026 und CVE-2025-48595 am 2. Juni 2026 in den KEV-Katalog aufgenommen; beide sind dem Anbieter Google zugeordnet. Diese Einträge belegen jedoch nicht, dass die Schwachstellen in Unisoc-Modems ausgenutzt wurden, und stellen keine spezifischen KEV-Präzedenzfälle für Unisoc dar.