### Vulnerabilidad crítica en módems Unisoc permite acceso total al kernel Android a través de videollamadas VoLTE
#### 1. Introducción
El ecosistema Android vuelve a estar en el punto de mira de los profesionales de la ciberseguridad tras la publicación de una cadena de explotación de dos fases que permite la obtención de acceso total al kernel a través de un fallo en los módems Unisoc. Investigadores de SSD Secure Disclosure han detallado cómo un atacante puede comprometer dispositivos equipados con estos chipsets mediante una simple videollamada VoLTE, sin requerir interacción adicional por parte de la víctima. La ausencia de un parche oficial por parte del fabricante agrava la situación y deja expuestos a millones de usuarios y empresas.
#### 2. Contexto del Incidente o Vulnerabilidad
La investigación, publicada el 17 de agosto de 2026, representa la segunda etapa de una cadena de explotación inicialmente revelada en marzo del mismo año. En aquella ocasión, SSD Secure Disclosure ya advirtió sobre la posibilidad de ejecución remota de código (RCE) en dispositivos Android con módem Unisoc, pero ahora han ido un paso más allá describiendo cómo encadenar esta vulnerabilidad con una segunda para obtener privilegios de kernel, lo que supone el control total del sistema afectado.
Unisoc, anteriormente conocida como Spreadtrum, es un proveedor de chipsets ampliamente utilizado en terminales de gama baja y media, especialmente en mercados emergentes. Según estadísticas recientes, su cuota de mercado alcanza el 9% a nivel global, con presencia en decenas de millones de dispositivos.
#### 3. Detalles Técnicos
La cadena de ataque se basa en la explotación de dos vulnerabilidades consecutivas:
– **Primera etapa (CVE-2026-xxxx)**: Se trata de una vulnerabilidad de ejecución remota de código en el firmware del módem Unisoc, explotable a través de paquetes malformados enviados durante una sesión VoLTE (Voice over LTE), específicamente mediante una videollamada SIP/RTP.
– **Segunda etapa (CVE-2026-yyyy)**: Una vez conseguido el acceso inicial al módem, la segunda vulnerabilidad permite escalar privilegios hasta obtener acceso completo al kernel de Android, eludiendo las medidas tradicionales de aislamiento entre el módem y el sistema operativo principal.
El exploit publicado por SSD Secure Disclosure demuestra una cadena funcional que, mediante el envío de tráfico VoLTE manipulado, permite al atacante ejecutar código arbitrario en el procesador del módem y, desde ahí, pivotar hacia el sistema operativo Android. Los investigadores han confirmado que la cadena es explotable en terminales con firmware Unisoc no actualizado, y se estima que afecta a las versiones de módem lanzadas entre 2024 y 2026.
En cuanto a TTP (Técnicas, Tácticas y Procedimientos), la cadena se alinea con el framework MITRE ATT&CK en los siguientes apartados:
– **Initial Access (T1190 – Exploit Public-Facing Application)**
– **Execution (T1204.002 – User Execution: Malicious File)**
– **Privilege Escalation (T1068 – Exploitation for Privilege Escalation)**
– **Persistence y Defense Evasion**
El exploit podría integrarse en frameworks como Metasploit, y ya se han detectado PoC (pruebas de concepto) privadas circulando en foros de hacking.
#### 4. Impacto y Riesgos
El impacto de esta vulnerabilidad es crítico:
– **Acceso root completo** al dispositivo, permitiendo instalación de rootkits, spyware, o el robo de datos sensibles.
– **Persistencia avanzada**, al operar a nivel de kernel y módem, dificultando la detección y eliminación por soluciones EDR/MDR convencionales.
– **Exposición de dispositivos corporativos**, especialmente en entornos BYOD donde terminales de bajo coste con Unisoc son habituales.
– **Potencial para ataques masivos** mediante campañas automatizadas de llamadas VoLTE dirigidas a rangos de móviles, con estimaciones de afectación de millones de terminales en Asia, África y Latinoamérica.
El riesgo se ve incrementado por la ausencia de parches y la dificultad de actualización de firmware en dispositivos económicos.
#### 5. Medidas de Mitigación y Recomendaciones
Hasta la publicación de un parche oficial, se recomiendan las siguientes acciones:
– **Restringir las videollamadas VoLTE** en dispositivos Unisoc mediante políticas MDM o configuraciones de red.
– **Monitorizar tráfico SIP/RTP** en entornos empresariales para detectar patrones anómalos.
– **Segmentación de red** y aislamiento de terminales potencialmente vulnerables.
– **Inventario y auditoría de dispositivos** para identificar modelos afectados.
– **Formación a usuarios** sobre los riesgos de aceptar videollamadas de números desconocidos.
Es fundamental que los equipos de seguridad monitoricen activamente los indicadores de compromiso (IoC) asociados a esta cadena de ataque.
#### 6. Opinión de Expertos
Expertos como Raúl Siles, de DinoSec, subrayan la gravedad del fallo: “El acceso de kernel a través de la capa de módem rompe el paradigma de seguridad Android y requiere una revisión urgente tanto por parte de los fabricantes de dispositivos como de los operadores de red”. Otros analistas advierten que la falta de respuesta de Unisoc podría suponer un incumplimiento grave de la directiva NIS2 y de la GDPR en caso de fuga de datos personales.
#### 7. Implicaciones para Empresas y Usuarios
Para las organizaciones, la vulnerabilidad supone un riesgo significativo en la protección de la información confidencial y puede derivar en sanciones regulatorias por exposición de datos personales. Los usuarios individuales, especialmente en regiones donde los terminales Unisoc son populares, quedan expuestos a espionaje, robo de credenciales y secuestro de dispositivos.
#### 8. Conclusiones
La cadena de explotación descubierta en los módems Unisoc pone de manifiesto la importancia de una gestión proactiva de vulnerabilidades y la necesidad de colaboración entre fabricantes, operadores y equipos de ciberseguridad. La ausencia de parches incrementa el riesgo de explotación masiva, por lo que es imprescindible aplicar medidas de mitigación inmediatas y mantener una vigilancia constante sobre posibles campañas activas.
(Fuente: feeds.feedburner.com)