Módems Unisoc: una cadena VoLTE puede llegar al kernel de Android

De la llamada SIP al control total del dispositivo

SSD Secure Disclosure publicó el 17 de agosto de 2026 la segunda fase de una cadena de ataque que puede llevar desde el módem Unisoc hasta la ejecución de código con privilegios de kernel en Android.

El recorrido comienza con una vulnerabilidad divulgada en marzo de 2026. Un atacante puede lograr la ejecución remota de código en el módem mediante una videollamada SIP especialmente manipulada. La nueva investigación demuestra cómo convertir ese acceso inicial en una vulneración completa del sistema operativo.

Sin embargo, la cadena requiere unas condiciones específicas:

• una red móvil privada 4G controlada por el atacante;
• la explotación de la vulnerabilidad RCE del módem;
• una videollamada VoLTE preparada por el atacante;
• que la víctima responda a la llamada entrante.

El investigador independiente que realizó el análisis utiliza el identificador 0x50594d. SSD afirma que intentó ponerse en contacto con Unisoc por correo electrónico y LinkedIn, sin éxito, una dificultad ya señalada en la divulgación anterior.

El fallo de aislamiento entre el módem y el procesador de aplicaciones

La vulnerabilidad de escalada está clasificada como CWE-1189, “Improper Isolation of Shared Resources on a System-on-a-Chip”. En el momento de la publicación no contaba con un identificador CVE.

El problema se debe a la arquitectura de algunos SoC de Unisoc. El procesador del módem y el procesador de aplicaciones comparten el espacio de memoria física; por tanto, el hardware no impone una barrera suficiente para impedir que el código del módem acceda a la memoria utilizada por el sistema Android.

Tras obtener ejecución en el módem, el atacante modifica la configuración de la Memory Protection Unit de ARM mediante la manipulación de los registros del coprocesador. El resultado es el mapeo de todo el espacio de direcciones físicas de 32 bits con permisos de lectura, escritura y ejecución.

Entre las áreas accesibles también se encuentran las páginas que contienen el kernel de Android. De este modo, el código ejecutado en el módem puede modificar directamente estructuras e instrucciones del kernel, superando el aislamiento normal entre los componentes del dispositivo.

Para verificar el resultado, los investigadores construyeron una red core 4G de código abierto, una radio definida por software y tarjetas SIM especializadas. La ejecución del payload a nivel de kernel se confirmó en los registros del kernel del dispositivo.

Por tanto, no se trata únicamente del control del módem. El impacto potencial incluye el control privilegiado del sistema Android, con capacidades superiores a las de una vulneración limitada a las funciones móviles.

Chipsets y smartphones verificados

El fallo se encuentra en el firmware del módem compartido por al menos tres chipsets:

• Unisoc T606, presente en el Motorola E13;
• Unisoc T612, presente en el Realme C33;
• Unisoc T7250, presente en el Xiaomi Redmi A5.

Unisoc, anteriormente conocida como Spreadtrum, suministra componentes a varios fabricantes, entre ellos Motorola, Realme y Xiaomi. Según el advisory, los dispositivos afectados se comercializan en más de 140 países.

La escalada se verificó en dos configuraciones concretas:

• un Motorola E13 con la actualización de seguridad de febrero de 2025;
• un Xiaomi Redmi A5 con la actualización de seguridad de enero de 2026.

El hecho de que la prueba se realizara en estas versiones no permite determinar automáticamente qué otros modelos o firmwares son vulnerables. No se conoce la lista completa de dispositivos afectados.

Parches ausentes y vulnerabilidades relacionadas

El Boletín de seguridad de Android de agosto de 2026 no aborda la escalada descrita. Tampoco parece estar disponible un boletín de seguridad específico de Unisoc sobre este problema.

En el momento de la divulgación no se había anunciado ninguna actualización de firmware correctiva. No se conocen parches ni mitigaciones operativas que los propietarios puedan aplicar directamente.

Un advisory independiente de Unisoc, publicado en octubre de 2025, describe CVE-2025-31718, una vulnerabilidad de validación de entradas en el módem de la misma familia de chipsets. El problema tiene una puntuación CVSS 7.5, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.

No se ha establecido si CVE-2025-31718 coincide con la vulnerabilidad RCE hecha pública por SSD en marzo de 2026. Por tanto, ambas fallas no deben tratarse como el mismo defecto.

La investigación se suma a un estudio independiente de Kaspersky ICS CERT, publicado en noviembre de 2025 sobre el chipset Unisoc UIS7862A, utilizado en unidades principales de automóviles. También en ese caso, partiendo del acceso al módem, los investigadores lograron alcanzar y modificar el kernel de Android mediante la memoria física compartida.

Kaspersky también identificó un mecanismo de movimiento lateral basado en un periférico DMA oculto, considerado un problema de hardware que no puede resolverse con una simple actualización de software. El método analizado por SSD utiliza, en cambio, la Memory Protection Unit y, en principio, puede corregirse mediante firmware.

Otro antecedente distinto es CVE-2022-20210, una vulnerabilidad de Unisoc con una puntuación CVSS 9.8, corregida por el fabricante y distribuida mediante el Android Security Bulletin. Sin embargo, no existe una garantía similar para las vulnerabilidades divulgadas en 2026.

Qué pueden hacer los usuarios y administradores

No existen medidas técnicas alternativas confirmadas para desactivar el fallo o aislar el módem. Por ello, los usuarios de los modelos afectados deberían comprobar periódicamente las actualizaciones publicadas por Motorola, Realme y Xiaomi, verificando tanto la versión de Android como el nivel del parche de seguridad.

La cadena requiere, no obstante, varios requisitos complejos. El atacante debe controlar una red 4G privada compatible, conseguir explotar el acceso inicial al módem e inducir a la víctima a responder a la videollamada VoLTE. El informe no señala campañas activas ni el uso público del exploit contra usuarios reales.

La vulnerabilidad de escalada no figura en el catálogo Known Exploited Vulnerabilities (KEV) de CISA. Por tanto, no existe una fecha de incorporación ni un plazo operativo de corrección.

En los últimos 90 días se incorporaron al catálogo KEV CVE-2026-11645, el 9 de junio de 2026, y CVE-2025-48595, el 2 de junio de 2026, ambas asociadas al proveedor Google. Estas incorporaciones no demuestran que las vulnerabilidades de los módems Unisoc hayan sido explotadas y no constituyen precedentes KEV específicos para Unisoc.