Eine neue Sicherheitsveröffentlichung zeigt, wie eine VoLTE-Exploitkette Kernelzugriff ermöglichen kann: Forschende berichten von einer zweistufigen Angriffsabfolge, die auf Geräten mit Unisoc-Modem-Firmware vollständigen Zugriff auf den Android-Kernel erlaubt. Entscheidend ist dabei eine Kombination aus Modem-Schwachstellen, kontrollierter Netzwerkinfrastruktur und einem Opfer, das einen eingehenden Videoanruf über VoLTE entgegennimmt.
Die Veröffentlichung stammt von SSD Secure Disclosure und datiert vom 17. August 2026. In der Einschätzung der Forschenden gibt es zum Zeitpunkt der Meldung keinen Fix seitens des Chip-Herstellers.
Worum geht die VoLTE-Exploitkette?
Die Angriffslogik besteht aus zwei Phasen. Die erste Stufe entstand bereits im März 2026: Damals beschrieben die Forschenden einen Remote Code Execution-Fehler (RCE) in derselben Modem-Firmware, ausgelöst über einen fehlerhaft aufgebauten SIP-Video-Call. Die zweite Stufe wurde nun im August 2026 nachgeliefert und zielt auf Privilege Escalation bis in den Kernelbereich.
Damit die gesamte Kette tatsächlich funktioniert, müssen mehrere Bedingungen zusammenkommen: Der Angreifer muss ein privates 4G-Netz kontrollieren, eine VoLTE-Videoverbindung gezielt auslösen und der Nutzer muss den eingehenden Videoanruf beantworten.
Warum Unisoc-Firmware hier im Fokus steht
Die Schwachstelle liegt laut Advisory in der Modem-Firmware, die mindestens drei Unisoc-Chipsets gemeinsam ist. Genannt werden unter anderem T606 (z. B. im Motorola E13), T612 (z. B. im Realme C33) und T7250 (z. B. in der Xiaomi Redmi A5-Serie). Unisoc sitzt in Shanghai und liefert Komponenten an mehrere Smartphone-Marken, darunter Motorola, Realme und Xiaomi.
Die Forschenden nennen explizit, dass es bisher keinen eindeutigen Patch gibt. Gleichzeitig berichten sie von Verifikationen auf realen Geräten mit unterschiedlichen Sicherheitsständen: Ein Motorola E13 mit Februar-2025-Patch sowie eine Xiaomi Redmi A5 mit Januar-2026-Patch wurden als Testfälle genutzt.
Zuordnung: CWE-1189 und kein CVE
Die Privilege-Escalation-Komponente wird als CWE-1189 eingeordnet, also als unzureichende Isolierung gemeinsam genutzter Ressourcen in einem System-on-a-Chip. Zum Zeitpunkt der Veröffentlichung sei keine CVE-Nummer vergeben worden.
Das ist besonders relevant, weil eine CVE üblicherweise die Grundlage für Prozesse rund um Patching, Tracking und Risikobewertung bildet. Ohne eindeutige Kennzeichnung kann die Einordnung für Hersteller und Betroffene zusätzlich erschwert werden.
So entsteht der Kernelzugriff technisch
Die Forschenden beschreiben, dass der Angriff zunächst einen Modem-Zugriff auf Code-Ebene benötigt. Diese Voraussetzung entsteht durch die bereits gemeldete RCE-Schwäche aus dem März 2026. Erst wenn der Angreifer Code im Modem-Kontext ausführen kann, startet die zweite Phase der Kette.
Der zweite Schritt funktioniert demnach über das Schreiben einer Konfiguration mit umfassendem Zugriff auf die ARM Memory Protection Unit (MPU). Konkret läuft das über Coprozessor-Register: Durch diese Manipulation wird das gesamte 32-bit physische Adressraumsystem so abgebildet, dass es im Modem-Kontext lesbar, schreibbar und ausführbar ist.
Damit umfasst die Sicht auch Seiten, in denen der Android-Kernel liegt. Die Sicherheitsbarriere, die solche Bereiche typischerweise schützen soll, sei in der beschriebenen Architektur nicht durch Hardware zuverlässig umgesetzt. Der Kernpunkt ist eine gemeinsam genutzte physische Speicherregion zwischen Modem- und Application-Processor innerhalb des SoC.
Welche Rolle spielt die fehlende Isolation?
In der Veröffentlichung wird die fehlende hardwareseitige Abgrenzung als Ursache dargestellt: Wenn Modem-Kontext Code ausführt, kann er ohne wirksame Grenzsetzung auch in Kernel-Adressbereiche schreiben oder sie für die Ausführung vorbereiten. Die Forschenden berichten, dass sie den Erfolg auf einem Testgerät anhand von Kernel-Logausgaben nachweisen konnten, in denen die Ausführung der eingebrachten Payload sichtbar wurde.
Warum bisher kein Android-Sicherheitsbulletin hilft
Obwohl ein Android Security Bulletin für August 2026 bereits veröffentlicht worden war, wird in dieser Quelle betont, dass es die Privilege-Escalation-Vulnerabilität nicht adressiert. Außerdem deckt laut Angaben kein UNISOC-Sicherheitsbulletin das konkrete Problem ab.
Für Besitzer betroffener Geräte bedeutet das: Zum Zeitpunkt der Meldung gibt es weder einen spezifischen Patch noch eine klar benannte Gegenmaßnahme. Das Ergebnis ist eine ernstzunehmende Lücke, die eher strukturell in der Firmware/Architektur verortet zu sein scheint.
Beispielgeräte und realistische Auswirkungen
Die Forschenden nennen keine generelle Serienliste aller betroffenen Modelle, aber mehrere Beispiele, die auf die genannte Chipfamilie verweisen. Dazu gehören unter anderem das Motorola E13, das Realme C33 und die Xiaomi Redmi A5-Reihe.
Wenn die Angriffsvoraussetzungen erfüllt sind, kann aus der Perspektive eines Angreifers weit mehr als „nur“ eine App-Beeinträchtigung entstehen. Ein Kernelzugriff gilt in der Regel als Sprungbrett für vollständige Kontrolle: Ein Angreifer kann dann sehr tief im System operieren, Persistenz schaffen und weitere Sicherheitsmechanismen umgehen.
Was Betroffene jetzt tun können
Praktisch bleibt zum Veröffentlichungszeitpunkt vor allem das Beobachten von Firmware- und Updates durch die Gerätehersteller. Da in der Advisory explizit genannt wird, dass keine Lösung von UNISOC bereitgestellt wurde, ist der nächste Schritt häufig, ob ein Hersteller auf Basis eigener Anpassungen oder auf Firmware-Ebene nachzieht.
Darüber hinaus lohnt es sich, bei VoLTE-Videoanrufen besonders vorsichtig zu sein—vor allem, wenn Anrufe von unbekannten Nummern oder aus ungewöhnlichen Kontexten kommen. Die Kette verlangt zwar eine Antwort des Opfers, dennoch kann ein restriktiver Umgang mit solchen Calls die Angriffsfläche senken.
Einordnung: Frühere Forschungen und parallele Meldungen
Die Veröffentlichung ordnet sich in einen breiteren Kontext ein. SSD verweist auf unabhängige Forschung von Kaspersky ICS CERT aus November 2025. Dort wurde ebenfalls eine ähnliche architektonische Bedingung in einem anderen Unisoc-Chip beschrieben: UIS7862A, der in Fahrzeug-Head-Units zum Einsatz kommen kann.
Kaspersky zeigte, dass nach dem Erreichen von Modem-Codeausführung auch der laufende Android-Kernel erreicht und verändert werden konnte. Zudem beschrieben die Kaspersky-Forschenden einen weiteren lateralen Bewegungsweg, der als hardware-nah eingestuft wurde und damit grundsätzlich nicht durch reine Softwareupdates bereinigbar sei. Die in der SSD-Kette verwendete MPU-Route sei prinzipiell adressierbar, aber ohne commit für ein entsprechendes Firmware-Update.
Weiterhin wird ein durch Check Point Research im Jahr 2022 identifizierter Angriffspfad erwähnt (CVE-2022-20210), der später von UNISOC gepatcht und über Android-Sicherheitsmechanismen verteilt wurde. Die zwei aktuell diskutierten Schwachstellen liefern laut Bericht jedoch gerade keine vergleichbaren Sicherheitszusicherungen.
Fazit: VoLTE-Exploitkette Kernelzugriff als strukturelle Warnung
Die VoLTE-Exploitkette Kernelzugriff, wie sie SSD Secure Disclosure beschreibt, steht exemplarisch für eine besonders kritische Kategorie von Angriffen: Nicht nur eine einzelne Komponente wird kompromittiert, sondern über Modem-Zugriff wird eine tiefere Systemgrenze überbrückt.
Zum Zeitpunkt der Veröffentlichung gibt es keinen verifizierten Fix. Für Nutzer bedeutet das vor allem: Updates des Geräteherstellers eng verfolgen und bei VoLTE-Videoanrufen besonders aufmerksam bleiben. Für Hersteller und Chip-Lieferanten ist die Meldung zudem ein deutliches Signal, dass Isolation auf SoC- und Firmware-Ebene nicht nur konzeptionell, sondern auch praktisch durch Hardware und Softwaredesign zuverlässig umgesetzt werden muss.
Quelle: https://thehackernews.com/2026/08/unisoc-volte-video-call-exploit-chain.html
