För några dagar sedan avslöjade forskare från Secure Disclosure en kritisk brist i designen av Unisoc SoCs, vilket gör det möjligt för en angripare att ta fullständig kontroll över systemet genom ett enkelt videosamtal.
Denna sårbarhet avslöjar en tvåstegsattackkedja som kulminerar i kodkörning på kärnnivå. Mest alarmerande är att halvledartillverkaren , vars chip driver enheter från varumärken som Motorola, Realme och Xiaomi i över 140 länder, inte har släppt någon patch eller officiell respons, vilket lämnar miljontals enheter utsatta för lokala privilegieskrävande attacker utan användarinteraktion.
Analys av exploateringskedjan
Attacken börjar utifrån genom att ta kontroll över ett privat 4G-mobilnätverk . För att bygga testmiljön använde forskarna ett öppen källkodsbaserat kärnnätverk baserat på Open5GS och Kamailio, sammankopplat via programvarudefinierad radio (LimeSDR) och specialiserade SIM-kort.
Från denna infrastruktur initierar angriparen ett videosamtal med hjälp av en RCE-sårbarhet (Remote Code Execution) i modemets firmware , som upptäcktes i mars 2026. Angriparen skickar felaktigt utformade SIP-paket. När offret svarar på samtalet infekterar den första komponenten i attacken enhetens modem, vilket etablerar det nödvändiga ramverket för att starta den andra och mer förödande fasen av intrånget.
Sårbarhet (CWE-1189)
Det verkliga säkerhetsproblemet ligger i en brist klassificerad som CWE-1189, som beskriver otillräcklig isolering av delade resurser . I Unisoc-chip delar modemets processor och applikationsprocessorn (där Android körs) samma fysiska minnesutrymme.
Eftersom det inte finns någon strikt hårdvaruisolering kan skadlig kod som exekveras på modemet ändra ARM-arkitekturens processorregister. Med hjälp av specifika instruktioner för assemblerspråk inaktiverar angriparen skyddet för den första regionen (ID 0) i Memory Protection Unit (MPU). Denna omkonfiguration mappar hela 32-bitars fysiska adressutrymmet som läsbart, skrivbart och körbart, vilket direkt exponerar den fysiska adressen där Android-kärnan finns.
Att injicera den slutliga koden är dock inte en enkel uppgift på grund av nätverksprotokollets begränsningar. SIP-meddelandet som används som attackvektor fragmenterar nyttolasten i minnesblock utspridda över modemets heap, separerade av tomma mellanslag. För att övervinna detta implementerade angriparna en sofistikerad "Egg Hunter"-mekanism skriven i assemblerspråk.
Detta lilla program skannar metodiskt modemets minne efter en specifik hexadecimal signatur som markerar början på varje skadligt fragment. När det väl hittats extraherar och sätter "Egg Hunter" ihop blocken sammanhängande vid en specifik minnesadress, vilket banar väg för kärnöverskrivning.
När nyttolasten är helt återmonterad och MPU-skydden inaktiverade fortsätter attacken att injicera den skadliga koden, eller skalkoden, direkt i operativsystemets minne. Injektionen är uppdelad i två strategiska sektioner: den första skriver över en systemkompatibilitetsfunktion, medan den andra installerar en "hoppramp" eller ett exekveringshopp i systemets viktiga filöppningsfunktion.
För att förhindra att enheten kraschar på grund av flera exekveringar innehåller koden ett mutex, eller ömsesidigt uteslutningslås, i den oinitierade minnessektionen. När Android-kärnan försöker fungera normalt omdirigerar springbrädan exekveringsflödet till den injicerade skalkoden, vilket bekräftar fullständig åtkomst genom att logga exploitens framgång direkt i kärnregistren.
Denna åtkomstnivå är inte en isolerad händelse i Unisocs historia, eftersom Kaspersky-forskare i november 2025 dokumenterade ett identiskt tillstånd i processorer som används i fordonsinfotainmentsystem , och år 2022 rapporterade Check Point Research liknande sårbarheter.
Även om testteam bekräftade effektiviteten hos denna nya exploitkedja på nya modeller som Motorola E13, Realme C33 och Xiaomi Redmi A5 med säkerhetsuppdateringar uppdaterade fram till 2026, ger bristen på svar från tillverkaren och avsaknaden av lösningar i Android-bulletiner inte en bra bild för användarna.
Tills en uppdatering av modemets firmware distribueras som stärker Memory Protection Unit-policyerna, kommer miljontals användares mobila infrastruktur att förbli sårbar för angripare med möjlighet att simulera mobilnätverk.
Om du är intresserad av att lära dig mer kan du hitta detaljerna på följande länk.