Motorola、realme、Xiaomi端末で確認、UNISOC製モデムの2段階攻撃に修正版なし

SSD Secure Disclosureは2026年8月17日、UNISOC製モデムで実行したコードからAndroidカーネルのメモリを書き換えられる脆弱性と、その実証コードを公開した。3月に公表された別のモデム脆弱性と組み合わせることで、攻撃者が管理する4Gネットワーク上のVoLTEビデオ通話を起点に、モデムからAndroidカーネルへ到達する2段階の攻撃チェーンになる。

実証には、攻撃者が標的端末の接続する4Gネットワークを制御することや、標的がビデオ通話に応答することなどの条件がある。SSDによると、2026年8月17日の公開時点でUNISOCから連絡への回答はなく、修正版も示されていない。公開された2件のアドバイザリにはCVE識別番号も記載されていない。

■モデムからAndroidカーネルへ到達する仕組み

スマートフォンのシステム・オン・チップ（SoC）には、Androidやアプリを動かすアプリケーションプロセッサと、携帯電話網との通信を処理するモデム側のプロセッサが組み込まれている。両者が物理メモリを共有する構成では、モデム側からアクセスできる領域を適切に制限する仕組みが重要になる。

SSDが公開した第2段階の脆弱性は、モデムでコードを実行できる攻撃者がメモリ保護ユニット（MPU）の設定を変更し、32ビットの物理アドレス空間全体をモデム側から読み書きできる状態にできるというものだ。Androidカーネルが置かれた領域も対象となるため、カーネルコードの改変につながる。

この問題は、SoC上で共有されるリソースの分離が不十分な脆弱性を示すCWE-1189に分類されている。SSDの実証では、カーネルログに用意したメッセージを出力するコードを動かし、モデム側からカーネルを書き換えられることを確認した。

カーネルメモリを操作できれば、OSの重要な保護機構に影響を与える可能性がある。ただし、公開された実証の中心はカーネルコードの書き換えであり、認証情報の窃取やカメラの操作といった個別の攻撃まで実証したものではない。

■第1段階はSIPとSDPの解析処理を悪用

攻撃チェーンの第1段階は、SSDが2026年3月11日に公開したモデムのリモートコード実行脆弱性だ。対象モデムがVoLTE通信の確立時にSIPメッセージ内のSDPデータを解析する処理に、再帰回数を適切に制限しない問題があった。

細工したSDPを含むSIPメッセージを処理させると、モデム内部でスタック領域が破壊され、任意のネイティブコードを実行される可能性がある。SSDはこの問題をCWE-674の制御不能な再帰としている。

第2段階の実証では、複数の不正なメッセージを使ってペイロードの断片をモデムのメモリへ配置する。標的がVoLTEビデオ通話に応答し、必要な通信処理が動くと、探索用コードが断片を見つけて再構成し、MPUの設定を書き換えるペイロードを実行する。これにより、最初のモデム内コード実行からAndroidカーネルのメモリ書き換えへ進む。

■攻撃には管理下の4Gネットワークが必要

SSDが公開した実証環境では、オープンソースのモバイルコア「Open5GS」、SIPサーバーの「Kamailio」、ソフトウェア無線機「LimeSDR」、プログラム可能なSIMカードなどが使われた。攻撃を成立させるには、標的端末がこのような攻撃者管理下の4Gネットワークへ接続している必要がある。

さらに、完全な攻撃チェーンでは、細工したメッセージによってモデム内へペイロードを準備し、標的にVoLTEビデオ通話へ応答させる必要がある。単に一般のインターネット経由でビデオ通話を受けただけで、あらゆるAndroid端末が侵害されるという内容ではない。

公開された研究は管理された試験用ネットワークでの実証であり、商用通信事業者のネットワーク上で同じ手法がそのまま成立するかは確認されていない。攻撃にはセルラーネットワークを構築、制御する設備と専門知識が必要になるため、現時点の実行難度は高い。

■確認された端末とチップセット

第2段階の脆弱性について、SSDはMotorola Moto E13とXiaomi Redmi A5で影響を確認した。Moto E13のAndroidセキュリティパッチレベルは2025年2月1日、Redmi A5は2026年1月1日だった。

攻撃チェーン全体の試験には、UNISOC T612を搭載し、2025年7月1日のAndroidセキュリティパッチが適用されたrealme C33が使われた。第1段階のアドバイザリは、影響するチップセットとしてT612、T616、T606、T7250を挙げている。

一方、公開資料だけでは、これらのチップセットを搭載するすべての製品とファームウェアが同じ条件で攻撃可能かまでは確定できない。影響範囲を判断するには、端末メーカーやUNISOCによる製品別、ファームウェア別の確認が必要になる。

Androidのセキュリティパッチレベルが比較的新しい端末でも実証が成功した点は重要だ。Androidプラットフォームの更新と、チップメーカーや端末メーカーが提供するモデムファームウェアの更新は同一ではない。画面に表示されるAndroidセキュリティパッチレベルだけでは、今回のモデム側の問題が修正されているか判断できない。

■修正版とCVEの状況

SSDは、3月と8月の両アドバイザリで、電子メールやLinkedInを通じてUNISOCへ連絡したものの、回答を得られなかったとしている。2026年8月17日の第2段階公開時点では、同社から修正版が提供されたとの記載もなかった。

UNISOCは通常、公式サイトで製品セキュリティ情報を公開している。しかし、2026年8月1日版の公式セキュリティ情報に掲載されたモデム関連の脆弱性は、今回SSDが公表した2件とは異なる内容と対象チップセットだった。

SSDの2件のアドバイザリにはCVE識別番号が記載されていない。CVEが公開情報に結び付いていない状態では、組織が脆弱性管理システムで対象端末を検索したり、対応状況を一元的に追跡したりすることが難しくなる。

■別のUNISOC製SoCでも確認された共通構造

モデムからアプリケーションプロセッサ側のメモリへ到達する構造は、別のUNISOC製SoCを対象とした研究でも報告されている。Kaspersky ICS CERTは2025年11月、車載ヘッドユニットなどに使われるUIS7862Aの調査結果を公開した。

同研究では、3Gの無線リンク制御プロトコルに存在する別の脆弱性を使ってモデム上でコードを実行した後、MPUの設定変更によってアプリケーションプロセッサ側のメモリを読み書きし、動作中のAndroidカーネルを変更した。さらに、モデム側から利用可能なDMA機構を使う別の経路も確認している。

UIS7862Aと今回のスマートフォン向けチップセットは異なる製品であり、脆弱性の入口も同一ではない。それでも、モデムで得たコード実行能力を足がかりに、共有メモリを介してAndroid側へ進むという共通構造は、SoC内部の分離設計が端末全体の安全性を左右することを示している。

SSDが示したMPU経由の問題については、モデム上のコードが保護領域を再設定できないようにするファームウェア側の対策が考えられる。その場合も、UNISOCによる修正に加え、各端末メーカーが更新へ組み込み、対象端末へ配信する工程が必要になる。

■利用者と端末管理者ができること

利用者がアプリの追加やAndroidの設定変更だけで、今回のモデム側の脆弱性を根本的に修正することはできない。端末メーカーからファームウェアやシステム更新が提供された場合は、内容を確認して速やかに適用することが基本になる。

現時点の実証条件を踏まえると、知らない番号からの予期しないVoLTEビデオ通話には応答しないことが、攻撃チェーンの成立機会を減らす一つの対策になる。通常のAndroidセキュリティ更新も、今回とは別のOSやアプリケーション層の脆弱性を修正するため、引き続き適用する必要がある。

企業や組織で端末を管理している場合は、機種名だけでなく搭載チップセットとファームウェアの情報を確認し、端末メーカーのセキュリティ情報を監視する必要がある。公開資料から影響の有無を判断できない機種については、メーカーや通信事業者への照会が確実だ。

■注目ポイントQ&A

●どのスマートフォンで影響が確認されていますか？

SSDは、Motorola Moto E13とXiaomi Redmi A5で第2段階の脆弱性を確認しています。攻撃チェーン全体の試験にはrealme C33が使われました。第1段階のアドバイザリにはT612、T616、T606、T7250が影響するチップセットとして記載されていますが、搭載製品すべての影響が個別に確認されたわけではありません。

●ビデオ通話に応答するだけで攻撃されるのですか？

公開された実証では、標的端末が攻撃者の管理する4Gネットワークへ接続し、細工したメッセージを事前に処理したうえで、VoLTEビデオ通話に応答する必要があります。通常の商用ネットワーク上で同じ攻撃がそのまま成立するかは確認されていません。

●修正版は提供されていますか？

SSDが第2段階を公開した2026年8月17日時点では、UNISOCから修正版が提供されたとの情報は示されていません。公開された2件のSSDアドバイザリにはCVE識別番号も記載されていません。端末メーカーとUNISOCのセキュリティ情報を継続して確認してください。

●Androidのセキュリティパッチが新しければ安全ですか？

Androidのセキュリティパッチレベルだけでは判断できません。今回の問題はモデムファームウェアにあり、その更新はAndroidプラットフォームの更新とは別に端末メーカーやチップメーカーから提供される場合があります。Androidの通常の更新も重要ですが、今回の修正についてはメーカーのファームウェア情報を確認する必要があります。

元記事: Unisoc Modem Flaw Turns Video Call Into Android Kernel Takeover: No Patch, No CVE