Underc0de - La Casa de los Informáticos

Una nueva investigación de seguridad ha puesto bajo el foco a los dispositivos Android equipados con determinados chipsets Unisoc. Investigadores de SSD Secure Disclosure han publicado una cadena de exploits en dos etapas que puede permitir a un atacante pasar del control del módem a la ejecución de código con privilegios de kernel en Android. El ataque puede iniciarse mediante una videollamada VoLTE, aunque requiere condiciones específicas y una infraestructura de red controlada por el atacante.

La investigación resulta especialmente relevante porque afecta a una arquitectura de hardware compartida por diferentes plataformas Unisoc utilizadas en smartphones de fabricantes como Motorola, Realme y Xiaomi. Además, en el momento de la divulgación no existe un parche público de Unisoc que corrija esta vulnerabilidad de escalada de privilegios.

Una cadena de ataques en dos etapas

El descubrimiento publicado por SSD Secure Disclosure el 17 de agosto de 2026 representa la segunda parte de una investigación iniciada meses atrás. En marzo de 2026, los investigadores ya habían documentado una vulnerabilidad de ejecución remota de código, o RCE, presente en el firmware del módem Unisoc.

Aquella primera vulnerabilidad podía explotarse mediante una videollamada SIP especialmente manipulada. Si el atacante conseguía ejecutar código dentro del contexto del módem, se obtenía una posición privilegiada desde la que era posible intentar avanzar hacia componentes más sensibles del dispositivo.

La segunda vulnerabilidad completa esta cadena al permitir la escalada desde el módem hasta el kernel de Android. De esta manera, un atacante que reúna las condiciones necesarias podría superar la separación lógica entre el procesador de comunicaciones y el procesador principal del dispositivo.

SSD Secure Disclosure señala que intentó ponerse en contacto con el fabricante del chipset mediante diferentes canales, incluidos correo electrónico y LinkedIn, pero no recibió respuesta. La misma falta de comunicación ya había sido señalada en la divulgación de marzo.

¿Qué dispositivos Unisoc están afectados?

El problema se encuentra en el firmware del módem compartido por al menos tres plataformas Unisoc. Entre los dispositivos utilizados para comprobar la vulnerabilidad se encuentran modelos económicos y de gama de entrada ampliamente distribuidos.

La investigación menciona específicamente el Unisoc T606, presente en el Motorola E13; el Unisoc T612, utilizado por el Realme C33; y el Unisoc T7250, integrado en el Xiaomi Redmi A5.

Los investigadores confirmaron la explotación de la vulnerabilidad en un Motorola E13 con el parche de seguridad de febrero de 2025 y en un Xiaomi Redmi A5 actualizado con el parche de enero de 2026. Esto demuestra que disponer de un dispositivo aparentemente actualizado no necesariamente elimina el riesgo cuando la corrección todavía no ha sido distribuida por el fabricante del chipset o por el fabricante del teléfono.

La vulnerabilidad ha sido clasificada como CWE-1189, correspondiente al aislamiento inadecuado de recursos compartidos dentro de un sistema en chip. Por ahora, no cuenta con un identificador CVE asignado.

El problema está en la arquitectura del SoC

Uno de los aspectos más preocupantes de esta investigación es que el ataque no depende únicamente de un error convencional de software. La vulnerabilidad está relacionada con la forma en que determinados componentes del sistema Unisoc comparten memoria física.

En estos sistemas, el procesador encargado del módem y el procesador de aplicaciones pueden acceder a una región de memoria física compartida. El problema aparece porque no existe una frontera de hardware suficientemente estricta que impida que código ejecutándose en el contexto del módem pueda modificar determinadas regiones pertenecientes al sistema operativo Android.

Una vez que los investigadores obtuvieron ejecución de código en el módem, utilizaron la configuración de la Unidad de Protección de Memoria (MPU) del procesador para conseguir acceso amplio al espacio físico de direcciones. El resultado permitió que el contexto del módem pudiera leer, escribir y ejecutar datos en regiones de memoria donde también se encuentra el kernel de Android.

En términos prácticos, esto convierte una vulnerabilidad inicialmente limitada al subsistema de comunicaciones en un problema mucho más grave. El kernel es uno de los componentes con mayor nivel de privilegios dentro de Android, por lo que conseguir ejecutar código en este contexto proporciona al atacante un control significativamente mayor sobre el dispositivo.

¿Cómo funciona el ataque mediante VoLTE?

La explotación completa no consiste simplemente en llamar a un teléfono. La cadena requiere una serie de condiciones que elevan considerablemente su complejidad.

En primer lugar, el atacante necesita conseguir ejecución remota de código dentro del módem utilizando la vulnerabilidad revelada en marzo de 2026. Para ello debe disponer de infraestructura de telecomunicaciones controlada por él y de una red privada 4G capaz de gestionar las comunicaciones necesarias.

Posteriormente, la víctima debe responder a una videollamada entrante. A partir de ese punto, el atacante puede aprovechar el código que ya se está ejecutando en el módem para intentar acceder a la memoria física compartida.

Los investigadores desarrollaron su prueba de concepto utilizando una red central 4G de código abierto, una radio definida por software y tarjetas SIM especializadas. El escenario demuestra que el ataque es técnicamente viable, aunque también evidencia que requiere conocimientos avanzados y recursos que no están al alcance de cualquier atacante.

Una vez completada la escalada, SSD confirmó la ejecución de código a nivel de kernel mediante registros del núcleo que mostraron que la carga útil inyectada había sido ejecutada correctamente.

El boletín de seguridad de Android no soluciona el problema

Otro elemento importante es que el Boletín de Seguridad de Android de agosto de 2026, publicado antes de la divulgación de SSD, no incluye una corrección específica para esta vulnerabilidad de escalada de privilegios.

Tampoco existe, según la información disponible en el momento de la publicación, un boletín de seguridad de Unisoc que solucione este problema concreto. Por ello, los usuarios dependen de que Unisoc y los fabricantes de dispositivos desarrollen, prueben y distribuyan una actualización de firmware.

Existe un antecedente relacionado. En octubre de 2025, Unisoc publicó información sobre CVE-2025-31718, una vulnerabilidad con una puntuación CVSS de 7,5 relacionada con la validación de entradas del módem en la misma familia de chipsets. Sin embargo, no está confirmado que ese fallo corresponda directamente con la vulnerabilidad de ejecución remota de código divulgada por SSD en marzo de 2026.

Un problema que recuerda a investigaciones anteriores

La investigación de SSD no es el primer trabajo que demuestra los riesgos derivados de compartir memoria entre el módem y el procesador de aplicaciones en determinados SoC Unisoc.

En noviembre de 2025, Kaspersky ICS CERT publicó una investigación sobre el chipset Unisoc UIS7862A utilizado en unidades de infoentretenimiento para vehículos. Después de conseguir ejecución de código en el módem mediante otra vulnerabilidad, los investigadores demostraron que era posible acceder y modificar el kernel de Android en ejecución aprovechando precisamente el espacio físico de memoria compartido.

Kaspersky incluso identificó rutas adicionales de movimiento lateral relacionadas con periféricos DMA ocultos. Una de esas condiciones fue considerada un problema de hardware que no podía solucionarse mediante una actualización convencional de software.

La ruta utilizada por SSD mediante la configuración de la protección de memoria es diferente y, al menos en principio, podría abordarse mediante un cambio de firmware. Sin embargo, Unisoc todavía no ha confirmado públicamente la disponibilidad de una actualización que elimine esta vía de ataque.

¿Qué pueden hacer los usuarios?

Por el momento, los propietarios de dispositivos afectados tienen pocas opciones para mitigar directamente la vulnerabilidad. La principal recomendación consiste en mantener Android y el firmware del fabricante completamente actualizados y prestar especial atención a futuras actualizaciones relacionadas con el módem o la seguridad del dispositivo.

También es recomendable evitar responder a llamadas sospechosas, especialmente cuando proceden de números desconocidos. Sin embargo, esta medida debe considerarse una precaución y no una solución definitiva, ya que la explotación depende de una infraestructura especializada y de una cadena de vulnerabilidades que va mucho más allá de una simple llamada telefónica.

Las empresas que administren dispositivos basados en Unisoc deberían vigilar los avisos de seguridad de sus fabricantes, evaluar los modelos afectados y preparar procedimientos para aplicar rápidamente cualquier actualización de firmware que corrija el problema.

Un riesgo que afecta a una capa crítica de Android

La investigación de SSD Secure Disclosure vuelve a demostrar que la seguridad de los smartphones no depende exclusivamente del sistema operativo o de las aplicaciones instaladas. El firmware del módem representa una superficie de ataque especialmente sensible porque procesa comunicaciones externas y, en determinados diseños de hardware, puede interactuar con recursos compartidos del sistema.

El hecho de que una vulnerabilidad en el módem pueda convertirse en una vía para alcanzar el kernel de Android plantea importantes interrogantes sobre el aislamiento entre componentes dentro de los sistemas en chip.

Aunque la explotación completa requiere infraestructura especializada, control de una red 4G y la interacción de la víctima con una videollamada, el impacto potencial es elevado. La ejecución de código a nivel de kernel podría permitir manipular componentes críticos del sistema y comprometer la integridad del dispositivo.

La ausencia de un parche público convierte esta divulgación en una advertencia especialmente importante para los usuarios de teléfonos con chips Unisoc afectados. Mientras se espera una respuesta oficial del fabricante, mantenerse atento a las actualizaciones de seguridad y firmware será fundamental para reducir la ventana de exposición.

Fuente: https://thehackernews.com/