Modem Unisoc, una catena VoLTE può arrivare al kernel Android

Dalla chiamata SIP al controllo completo del dispositivo

SSD Secure Disclosure ha pubblicato il 17 agosto 2026 la seconda fase di una catena d’attacco che può portare dal modem Unisoc all’esecuzione di codice con privilegi kernel su Android.

Il percorso parte da una vulnerabilità già divulgata nel marzo 2026. Un aggressore può ottenere l’esecuzione remota di codice nel modem attraverso una chiamata video SIP appositamente malformata. La nuova ricerca dimostra come trasformare quel primo accesso in una compromissione dell’intero sistema operativo.

La catena richiede però condizioni specifiche:

• una rete cellulare privata 4G controllata dall’attaccante;
• lo sfruttamento della vulnerabilità RCE del modem;
• una chiamata video VoLTE preparata dall’aggressore;
• la risposta della vittima alla chiamata in ingresso.

Il ricercatore indipendente che ha condotto l’analisi utilizza l’handle 0x50594d. SSD afferma di aver tentato senza successo di contattare Unisoc tramite email e LinkedIn, una difficoltà già segnalata nella divulgazione precedente.

Il difetto di isolamento tra modem e processore applicativo

La vulnerabilità di escalation è classificata come CWE-1189, cioè “Improper Isolation of Shared Resources on a System-on-a-Chip”. Al momento della pubblicazione non dispone di un identificativo CVE.

Il problema nasce dall’architettura di alcuni SoC Unisoc. Il processore del modem e quello applicativo condividono lo spazio di memoria fisico; l’hardware non impone quindi una barriera sufficiente a impedire al codice del modem di accedere alla memoria usata dal sistema Android.

Dopo aver ottenuto l’esecuzione nel modem, l’attaccante modifica la configurazione della Memory Protection Unit ARM intervenendo sui registri del coprocessore. Il risultato è la mappatura dell’intero spazio degli indirizzi fisici a 32 bit con permessi di lettura, scrittura ed esecuzione.

Tra le aree così raggiungibili rientrano anche le pagine che contengono il kernel Android. Il codice eseguito nel modem può quindi alterare direttamente strutture e istruzioni del kernel, superando il normale isolamento tra componenti del dispositivo.

Per verificare il risultato, i ricercatori hanno costruito una rete core 4G open source, una radio definita via software e SIM specializzate. L’esecuzione del payload a livello kernel è stata confermata nei log del kernel del dispositivo.

Non si tratta quindi soltanto di un controllo del modem. L’impatto potenziale comprende il controllo privilegiato del sistema Android, con capacità superiori rispetto a una compromissione limitata alle funzioni cellulari.

Chipset e smartphone verificati

Il difetto risiede nel firmware modem condiviso da almeno tre chipset:

• Unisoc T606, presente nel Motorola E13;
• Unisoc T612, presente nel Realme C33;
• Unisoc T7250, presente nello Xiaomi Redmi A5.

Unisoc, precedentemente nota come Spreadtrum, fornisce componenti a diversi produttori, tra cui Motorola, Realme e Xiaomi. Secondo l’advisory, i dispositivi interessati sono commercializzati in oltre 140 Paesi.

L’escalation è stata verificata su due configurazioni precise:

• un Motorola E13 con aggiornamento di sicurezza di febbraio 2025;
• uno Xiaomi Redmi A5 con aggiornamento di sicurezza di gennaio 2026.

Il fatto che la prova sia stata eseguita su queste versioni non consente di stabilire automaticamente quali altri modelli o firmware siano vulnerabili. L’elenco completo dei dispositivi coinvolti non è noto.

Patch assenti e vulnerabilità collegate

Il Bollettino di sicurezza Android di agosto 2026 non tratta l’escalation descritta. Non risulta inoltre disponibile un bollettino di sicurezza Unisoc dedicato al problema.

Al momento della divulgazione non è stato annunciato alcun aggiornamento firmware correttivo. Non sono note patch o mitigazioni operative che i proprietari possano applicare direttamente.

Un advisory Unisoc separato pubblicato a ottobre 2025 descrive CVE-2025-31718, una vulnerabilità di validazione degli input nel modem della stessa famiglia di chipset. Il problema ha un punteggio CVSS 7.5, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.

Non è stato stabilito se CVE-2025-31718 coincida con la vulnerabilità RCE resa pubblica da SSD nel marzo 2026. Le due falle non devono quindi essere trattate come lo stesso difetto.

La ricerca segue uno studio indipendente di Kaspersky ICS CERT pubblicato a novembre 2025 sul chipset Unisoc UIS7862A, utilizzato nelle head unit automobilistiche. Anche in quel caso, partendo da un accesso al modem, i ricercatori erano riusciti a raggiungere e modificare il kernel Android attraverso la memoria fisica condivisa.

Kaspersky aveva inoltre individuato un percorso di movimento laterale basato su una periferica DMA nascosta, considerato un problema hardware non risolvibile con un semplice aggiornamento software. Il metodo analizzato da SSD sfrutta invece la Memory Protection Unit e, in linea di principio, può essere corretto tramite firmware.

Un precedente diverso è CVE-2022-20210, una vulnerabilità Unisoc con punteggio CVSS 9.8, corretta dal produttore e distribuita tramite l’Android Security Bulletin. Non esiste però una garanzia analoga per le vulnerabilità rese pubbliche nel 2026.

Cosa possono fare utenti e amministratori

Non sono disponibili workaround tecnici confermati per disattivare il difetto o isolare il modem. Gli utenti dei modelli coinvolti dovrebbero quindi controllare regolarmente gli aggiornamenti pubblicati da Motorola, Realme e Xiaomi, verificando sia la versione Android sia il livello della patch di sicurezza.

La catena presenta comunque requisiti non banali. L’attaccante deve controllare una rete 4G privata compatibile, riuscire a sfruttare l’accesso iniziale al modem e indurre la vittima a rispondere alla chiamata video VoLTE. Il brief non indica campagne attive né un impiego pubblico dell’exploit contro utenti reali.

La vulnerabilità di escalation non risulta indicata nel catalogo Known Exploited Vulnerabilities (KEV) della CISA. Di conseguenza, non è disponibile una data di inserimento né una scadenza operativa per la correzione.

Nel catalogo KEV sono entrate negli ultimi 90 giorni CVE-2026-11645, il 9 giugno 2026, e CVE-2025-48595, il 2 giugno 2026, associate al vendor Google. Questi inserimenti non dimostrano però che le vulnerabilità dei modem Unisoc siano state sfruttate e non costituiscono precedenti KEV specifici per Unisoc.