Unisoc製チップ搭載端末に深刻な脆弱性、ビデオ通話経由でAndroidカーネルが完全掌握される恐れ

要点

• セキュリティ研究機関のSSD Secure Disclosureが、Unisoc製モデム搭載端末でAndroidカーネルの完全な制御権を奪取できるエクスプロイトチェーンを公開した。

• 攻撃者が制御する4G環境下でVoLTEビデオ通話に応答すると、リモートコード実行からカーネル権限への昇格が連続して引き起こされる。

• チップセット内でモデムとアプリケーションプロセッサが物理メモリを共有しており、ハードウェア的な保護境界がない設計上の欠陥（CWE-1189）が原因とされる。

• MotorolaやXiaomiなどの搭載端末で実証されているが、チップメーカーからの応答はなく、現時点でパッチや緩和策は存在しない。

• セキュリティ研究機関のSSD Secure Disclosureは2026年8月17日、半導体メーカーのUnisoc（紫光展鋭）製モデムファームウェアに存在する脆弱性を悪用し、VoLTEビデオ通話を通じてAndroidカーネルの完全なアクセス権を取得できる2段階のエクスプロイトチェーンを公開した。この調査は独立系セキュリティ研究者の「0x50594d」氏によって実施されたもので、チップメーカー側からの修正パッチは未だ提供されていないという。

2段階の攻撃でモデムからカーネルへ到達

今回公表された手法は、2026年3月に同機関が開示した遠隔コード実行（RCE）脆弱性と、今回新たに開示されたローカル権限昇格（LPE）脆弱性を組み合わせたものだ。

第1段階では、不正に細工されたSIP（Session Initiation Protocol：通話制御を行う通信規格）ビデオ通話を受信させることで、モデムファームウェア内で任意のコードを実行する。続く第2段階において、モデム上の実行権限を足がかりにし、最上位の権限であるAndroidカーネルへと権限を昇格させる仕組みとなっている。

一連の攻撃を完結させるには、攻撃者が制御するプライベートな4Gセルラーネットワーク環境が存在し、かつ標的となったユーザーが着信したビデオ通話に応答する必要がある。研究チームは実証実験にあたり、オープンソースの4Gコアネットワーク、ソフトウェア無線（SDR：ソフトウェアで無線処理を行う機器）、専用のSIMカードを用いて検証環境を構築したと説明している。

メモリ保護ユニットの書き換えと共有メモリの構造的欠陥

モデム上でコードが実行された後の権限昇格は、SoC（System-on-a-Chip：主要回路を1つのチップに集約した半導体）内のハードウェア構造を突く形で行われる。

攻撃コードはコプロセッサのレジスタを経由し、モデムに備わるARM MPU（Memory Protection Unit：メモリの保護やアクセス制御を行うユニット）に対してフルアクセス設定を書き込む。これにより、Androidカーネルが存在する領域を含む32ビットの物理アドレス空間全体が、モデム側から読み取り・書き込み・実行可能な状態としてマッピングされる。

この動作が可能となる根本的な要因は、UnisocのSoCにおいてモデムプロセッサとアプリケーションプロセッサが同一の物理メモリ空間を共有している点にある。モデム側のコンテキストからカーネルメモリを改変することを防ぐハードウェアレベルの境界が存在しないため、脆弱性分類としては「SoCにおける共有リソースの不適切な分離（CWE-1189）」に該当するという。研究者はテスト端末のカーネルログを確認し、注入されたコードがカーネルレベルで実行された事実を確認したと報告している。

影響を受けるチップセットと搭載デバイス

この脆弱性は、Unisocが提供する複数のチップセットで共有されているモデムファームウェアに存在する。アドバイザリでは、以下のチップセットおよび搭載スマートフォンが具体例として挙げられている。

• Unisoc T606: 「Motorola E13」（2025年2月セキュリティパッチ適用端末で検証済み）
• Unisoc T612: 「Realme C33」
• Unisoc T7250: 「Xiaomi Redmi A5」（2026年1月セキュリティパッチ適用端末で検証済み）

上海に本拠を置くUnisoc（旧Spreadtrum）は、Motorola、Realme、Xiaomiといった大手ブランドにコンポーネントを供給しており、それらの搭載製品は世界140カ国以上で販売されている。

ベンダーからの応答はなくパッチも未提供

SSD Secure Disclosureによれば、電子メールやLinkedInなど複数の窓口を通じてUnisocへの連絡を試みたものの、返答は得られていないという。2026年3月の第1段階開示時にも同様の声明が出されていた。本脆弱性に対するCVE番号は公開時点で割り当てられていない。

また、本開示に先立って公開された2026年8月版のAndroidセキュリティ情報（Android Security Bulletin）やUnisoc独自のセキュリティ情報においても、今回の権限昇格脆弱性への対応は含まれていない。なお、2025年10月にUnisocが公開したアドバイザリ「CVE-2025-31718」（CVSSスコア7.5）では同ファミリーのモデム入力検証の不備が報告されているが、これが2026年3月の開示内容と一致するかどうかは不明とされている。

現在、ユーザーが適用できる公式パッチや緩和策は提供されておらず、端末メーカーからのファームウェアアップデートの提供を待つ必要がある状況だ。

過去の調査でも指摘されていたアーキテクチャ上の課題

Unisoc製チップにおけるモデムとアプリケーションプロセッサの共有メモリアーキテクチャについては、過去にもセキュリティ機関による指摘がなされていた。

2025年11月にはKaspersky ICS CERTが、車載インフォテインメント機器に採用されているUnisoc製チップ「UIS7862A」を対象とした調査レポートを発表している。この際も別のモデム脆弱性から侵入し、共有物理アドレス空間を悪用して実行中のAndroidカーネルを改ざんできることが実証されていた。Kasperskyは、隠しDMA（Direct Memory Access）周辺回路を経由する横展開の手法について「ソフトウェア更新では修正できないハードウェアレベルの問題」と説明していた。

今回SSD Secure Disclosureが示したMPUを経由する手法は、原理的にはファームウェアの修正によって対処可能とされているが、Unisoc側による修正対応の確約は得られていない。過去の2022年には、Check Point Researchが発見したUnisocモデムの脆弱性（CVE-2022-20210）がメーカーによって修正されAndroidセキュリティ情報経由で配信された事例があるものの、今回の2つの脆弱性については同様の修正見通しが立っていないという。