สรุปสั้น

นักวิจัยด้านความปลอดภัยจาก SSD Secure Disclosure เผยแพร่ห่วงโซ่การโจมตีสองขั้นที่ทำให้ผู้โจมตีเข้าถึงเคอร์เนลของ Android ได้อย่างเต็มรูปแบบบนอุปกรณ์ที่ใช้เฟิร์มแวร์โมเด็มของ Unisoc โดยจุดเริ่มต้นคือสายวิดีโอ VoLTE และจนถึงตอนนี้ผู้ผลิตชิปยังไม่ได้ออกตัวแก้ไขใด ๆ คำแนะนำฉบับนี้เผยแพร่เมื่อวันที่ 17 สิงหาคม 2569 และเป็นขั้นที่สองของห่วงโซ่ที่เริ่มต้นตั้งแต่เดือนมีนาคม 2569 เมื่อ SSD เปิดเผยช่องโหว่รันโค้ดจากระยะไกลในเฟิร์มแวร์ตัวเดียวกันผ่านสายวิดีโอ SIP ที่ถูกดัดแปลง

เงื่อนไขในการเดินห่วงโซ่ให้ครบไม่ใช่เรื่องง่าย ผู้โจมตีต้องควบคุมเครือข่ายเซลลูลาร์ 4G ส่วนตัวเอง และเหยื่อต้องกดรับสายวิดีโอที่โทรเข้ามา แต่สิ่งที่ทำให้เรื่องนี้ร้ายแรงคือปลายทางของมัน เพราะเมื่อผ่านทั้งสองขั้นแล้ว โค้ดของผู้โจมตีจะทำงานอยู่ในระดับเคอร์เนลของระบบปฏิบัติการ ซึ่งเป็นระดับที่ไม่มีกลไกความปลอดภัยของแอปพลิเคชันใดขวางได้อีก

ช่องโหว่ยกระดับสิทธิ์ตัวนี้ถูกจัดประเภทเป็น CWE-1189 หรือการแยกทรัพยากรที่ใช้ร่วมกันบนชิประบบไม่เหมาะสม และ ณ เวลาที่เผยแพร่ยังไม่มีการกำหนดหมายเลข CVE ให้ SSD Secure Disclosure ระบุในคำแนะนำว่า “เราได้พยายามติดต่อผู้ผลิตผ่านหลายช่องทางทั้งอีเมลและ LinkedIn แต่ยังไม่ได้รับการตอบกลับใด ๆ” ซึ่งเป็นข้อความเดียวกับที่ปรากฏในการเปิดเผยเมื่อเดือนมีนาคม 2569 งานวิจัยนี้ดำเนินการโดยนักวิจัยอิสระที่ใช้ชื่อว่า 0x50594d

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 สิงหาคม 2569 ว่าช่องโหว่นี้อยู่ในเฟิร์มแวร์โมเด็มที่ชิปของ Unisoc อย่างน้อยสามรุ่นใช้ร่วมกัน ได้แก่ T606 ที่อยู่ใน Motorola E13, T612 ที่อยู่ใน Realme C33 และ T7250 ที่อยู่ใน Xiaomi Redmi A5 โดย Unisoc เป็นผู้ผลิตชิปสัญชาติจีนที่มีฐานอยู่ในเซี่ยงไฮ้ และเดิมใช้ชื่อว่า Spreadtrum ซึ่งป้อนชิ้นส่วนให้แบรนด์อย่าง Motorola, Realme และ Xiaomi สำหรับอุปกรณ์ที่วางขายในกว่า 140 ประเทศตามที่ระบุในคำแนะนำ

นักวิจัยยืนยันช่องโหว่ยกระดับสิทธิ์นี้บนเครื่อง Motorola E13 ที่ติดตั้งแพตช์ความปลอดภัยประจำเดือนกุมภาพันธ์ 2568 และบน Xiaomi Redmi A5 ที่ติดตั้งแพตช์ประจำเดือนมกราคม 2569 ซึ่งหมายความว่าการอัปเดตตามรอบปกติของ Android ไม่ได้ปิดช่องนี้ ที่สำคัญกว่านั้นคือ Android Security Bulletin ประจำเดือนสิงหาคม 2569 ซึ่งเผยแพร่ก่อนการเปิดเผยครั้งนี้ ก็ไม่ได้กล่าวถึงช่องโหว่ยกระดับสิทธิ์ตัวนี้ และไม่มีประกาศความปลอดภัยของ UNISOC ฉบับใดครอบคลุมมันเช่นกัน

มีประกาศของ UNISOC อีกฉบับจากเดือนตุลาคม 2568 คือ CVE-2025-31718 คะแนน CVSS 7.5 ที่อธิบายถึงช่องโหว่การตรวจสอบข้อมูลนำเข้าในโมเด็มของชิปตระกูลเดียวกัน แต่ยังไม่ชัดเจนว่ามันตรงกับช่องโหว่ที่ SSD เปิดเผยเมื่อเดือนมีนาคม 2569 หรือไม่ ในสถานการณ์ปัจจุบันเจ้าของอุปกรณ์จึงไม่มีทั้งแพตช์และมาตรการบรรเทาผลกระทบ และทำได้เพียงเฝ้ารอการอัปเดตเฟิร์มแวร์จากผู้ผลิตอุปกรณ์ของตัวเอง

การเปิดเผยครั้งนี้ยังต่อยอดจากงานวิจัยอิสระที่ Kaspersky ICS CERT เผยแพร่เมื่อเดือนพฤศจิกายน 2568 ซึ่งบันทึกเงื่อนไขเชิงสถาปัตยกรรมแบบเดียวกันบนชิป Unisoc คนละรุ่นคือ UIS7862A ที่อยู่ในชุดหัวเครื่องเสียงของยานยนต์ หลังจากได้สิทธิ์รันโค้ดบนโมเด็มผ่านช่องโหว่คนละตัว ทีมของ Kaspersky ก็สามารถเข้าถึงและแก้ไขเคอร์เนล Android ที่กำลังทำงานอยู่ได้เช่นกัน โดยอาศัยพื้นที่ที่อยู่ทางกายภาพที่โปรเซสเซอร์โมเด็มและโปรเซสเซอร์แอปพลิเคชันใช้ร่วมกัน

จุดที่ต้องแยกให้ชัดคือ Kaspersky อธิบายเส้นทางขยับด้านข้างเส้นหนึ่งของตัวเองที่อาศัยอุปกรณ์ต่อพ่วง Direct Memory Access ที่ซ่อนอยู่ว่าเป็นปัญหาระดับฮาร์ดแวร์ที่แก้ด้วยการอัปเดตซอฟต์แวร์ไม่ได้ ขณะที่เส้นทางผ่าน Memory Protection Unit ที่ห่วงโซ่ของ SSD ใช้นั้นในทางหลักการแก้ได้ด้วยการเปลี่ยนเฟิร์มแวร์ เพียงแต่ UNISOC ยังไม่ได้ให้คำมั่นว่าจะออกอัปเดตดังกล่าว เปรียบเทียบกับช่องโหว่โมเด็ม Unisoc ที่ Check Point Research ค้นพบเมื่อปี 2565 คือ CVE-2022-20210 ซึ่ง UNISOC แก้ไขและกระจายแพตช์ผ่าน Android Security Bulletin แล้ว ช่องโหว่สองรายการที่เปิดเผยอยู่ตอนนี้ไม่มีหลักประกันแบบนั้นเลย

วิธีการโจมตี

การเดินห่วงโซ่ให้ครบต้องเริ่มจากการมีที่มั่นระดับโมเด็มจากช่องโหว่รันโค้ดจากระยะไกลที่เปิดเผยเมื่อเดือนมีนาคม 2569 ก่อน ควบคู่กับโครงสร้างพื้นฐาน VoLTE ที่ผู้โจมตีควบคุมเอง และเหยื่อที่กดรับสายวิดีโอที่โทรเข้ามา นักวิจัยสร้างสภาพแวดล้อมสำหรับโค้ดสาธิตขึ้นมาด้วยระบบเครือข่ายแกนกลาง 4G แบบโอเพนซอร์ส วิทยุที่กำหนดด้วยซอฟต์แวร์สำหรับส่วนต่อประสานวิทยุ 4G และซิมการ์ดเฉพาะทาง

เมื่อโค้ดของผู้โจมตีทำงานอยู่บนโมเด็มแล้ว ขั้นตอนยกระดับสิทธิ์จะทำงานด้วยการเขียนค่าตั้งค่าแบบเข้าถึงได้เต็มที่ลงใน ARM Memory Protection Unit ของโมเด็มผ่านรีจิสเตอร์ของโคโปรเซสเซอร์ ผลคือพื้นที่ที่อยู่ทางกายภาพแบบ 32 บิตทั้งหมดถูกแมปให้อ่านได้ เขียนได้ และรันได้จากบริบทของโมเด็ม ซึ่งรวมถึงหน้าหน่วยความจำที่เคอร์เนลของ Android อาศัยอยู่ด้วย

เงื่อนไขที่ทำให้เรื่องนี้เป็นไปได้คือพื้นที่หน่วยความจำกายภาพที่โปรเซสเซอร์โมเด็มกับโปรเซสเซอร์แอปพลิเคชันใช้ร่วมกันภายในชิประบบของ Unisoc โดยไม่มีเส้นแบ่งที่บังคับใช้ในระดับฮาร์ดแวร์มาขวางไม่ให้โค้ดในบริบทของโมเด็มแก้ไขหน่วยความจำของเคอร์เนล นักวิจัยยืนยันการรันโค้ดระดับเคอร์เนลบนเครื่องทดสอบได้จากการสังเกตผลลัพธ์ในล็อกของเคอร์เนลที่แสดงว่าเพย์โหลดที่ฉีดเข้าไปทำงานจริง

ผลกระทบ

กลุ่มที่รับความเสี่ยงคือผู้ใช้สมาร์ตโฟนระดับเริ่มต้นที่ใช้ชิป Unisoc ซึ่งเป็นตลาดที่มีปริมาณเครื่องมหาศาลและมักได้รับการสนับสนุนด้านความปลอดภัยสั้นกว่าเครื่องระดับบน รุ่นที่ระบุชื่อไว้ชัดเจนคือ Motorola E13, Realme C33 และ Xiaomi Redmi A5 แต่เนื่องจากปัญหาอยู่ในเฟิร์มแวร์โมเด็มที่ชิปหลายรุ่นใช้ร่วมกัน ขอบเขตจริงจึงน่าจะกว้างกว่าสามรุ่นนี้

สิ่งที่ทำให้ช่องโหว่ประเภทนี้ต่างจากช่องโหว่แอปพลิเคชันทั่วไปคือมันข้ามชั้นความปลอดภัยของระบบปฏิบัติการไปทั้งหมด การป้องกันแบบที่ผู้ใช้คุ้นเคย ทั้งการไม่ติดตั้งแอปนอกสโตร์ การไม่กดลิงก์แปลก หรือการตั้งรหัสผ่านที่ดี ไม่ได้ช่วยอะไรเลยเมื่อทางเข้าคือสายวิดีโอที่โทรเข้ามาและเป้าหมายคือโปรเซสเซอร์โมเด็มที่ทำงานอยู่นอกสายตาของระบบปฏิบัติการ

อีกประเด็นที่สำคัญไม่แพ้ตัวช่องโหว่คือการที่ผู้ผลิตชิปไม่ตอบสนอง เมื่อนักวิจัยติดต่อผ่านหลายช่องทางแล้วไม่ได้รับคำตอบ ไม่มีเลข CVE ไม่มีประกาศความปลอดภัย และไม่มีการยืนยันว่าจะออกเฟิร์มแวร์แก้ไข ผู้ใช้ปลายทางก็ไม่มีเส้นทางไปสู่การแก้ไขเลย ซึ่งต่างจากกรณี CVE-2022-20210 ที่กระบวนการเปิดเผยแบบประสานงานทำงานได้จริงและแพตช์ถูกส่งผ่าน Android Security Bulletin

ข้อจำกัดที่ต้องระบุให้ครบคือการโจมตีนี้ไม่ใช่สิ่งที่ทำได้จากระยะไกลผ่านอินเทอร์เน็ตทั่วไป ผู้โจมตีต้องควบคุมเครือข่ายเซลลูลาร์ส่วนตัวและเหยื่อต้องกดรับสาย ซึ่งเป็นเงื่อนไขที่จำกัดผู้ที่ทำได้จริงให้อยู่ในกลุ่มที่มีทรัพยากรและอยู่ใกล้เป้าหมายทางกายภาพ นอกจากนี้ยังไม่มีรายงานว่ามีการนำห่วงโซ่นี้ไปใช้โจมตีจริง และรายชื่ออุปกรณ์ที่ได้รับผลกระทบครบถ้วนก็ยังไม่มีใครเผยแพร่

คำแนะนำ

  • ตรวจสอบว่าอุปกรณ์ในองค์กรหรือของผู้บริหารรุ่นใดใช้ชิป Unisoc บ้าง โดยเฉพาะเครื่องระดับเริ่มต้นที่ซื้อมาเป็นเครื่องสำรองหรือเครื่องสำหรับงานภาคสนาม แล้วประเมินว่าข้อมูลบนเครื่องเหล่านั้นมีความอ่อนไหวแค่ไหน
  • ติดตามประกาศอัปเดตเฟิร์มแวร์จากผู้ผลิตอุปกรณ์โดยตรง ไม่ใช่จาก Android Security Bulletin เพียงอย่างเดียว เพราะช่องโหว่นี้อยู่ในเฟิร์มแวร์โมเด็มซึ่งอยู่นอกขอบเขตของแพตช์ Android ตามรอบ
  • สำหรับผู้ใช้กลุ่มเสี่ยงสูง ให้พิจารณาปิดใช้งาน VoLTE หรือปิดการรับสายวิดีโอจากหมายเลขที่ไม่รู้จัก และไม่กดรับสายวิดีโอที่โทรเข้ามาโดยไม่ได้นัดหมาย เนื่องจากการกดรับสายคือเงื่อนไขที่ห่วงโซ่นี้ต้องการ
  • ระวังการเชื่อมต่อกับเครือข่ายเซลลูลาร์ที่ไม่คุ้นเคยหรือมีสัญญาณผิดปกติในพื้นที่ที่มีความเสี่ยง เพราะการโจมตีต้องอาศัยเครือข่าย 4G ที่ผู้โจมตีควบคุมเอง
  • อย่าถือว่าอุปกรณ์ที่ติดตั้งแพตช์ล่าสุดแล้วปลอดภัยจากช่องโหว่นี้ เพราะนักวิจัยยืนยันช่องโหว่บนเครื่องที่มีแพตช์เดือนกุมภาพันธ์ 2568 และมกราคม 2569 อยู่แล้ว
  • ในระยะยาว ให้ใส่เกณฑ์ระยะเวลาสนับสนุนด้านความปลอดภัยและประวัติการตอบสนองของผู้ผลิตชิปเข้าไปในการจัดซื้ออุปกรณ์เคลื่อนที่ ไม่ใช่พิจารณาแค่ราคาและสเปก

แหล่งอ้างอิง