Dũng Virgo
Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong phần mềm nhúng của một số bộ xử lý Unisoc. Theo các nhà nghiên cứu, kẻ tấn công có thể lợi dụng giao thức VoLTE để gửi mã độc thông qua tín hiệu của cuộc gọi video, sau đó tìm cách giành quyền truy cập rất cao trên điện thoại Android.
Điểm đáng chú ý là phương thức này không nhất thiết yêu cầu nạn nhân cài thêm ứng dụng hoặc bấm vào một đường link đáng ngờ. Tuy nhiên, mức độ rủi ro thực tế vẫn cần được nhìn nhận thận trọng, bởi quá trình thử nghiệm mới diễn ra trên hạ tầng mạng được kiểm soát và các thiết bị dùng để kiểm tra đã được root.
Lỗ hổng nằm trong những chip Unisoc nào?
Vấn đề được xác định trong phần mềm modem chạy trên bốn dòng SoC Unisoc gồm T612, T616, T606 và T7250. Đây là các nền tảng thường xuất hiện trên smartphone Android giá rẻ hoặc phổ thông, trong đó có sản phẩm đến từ Xiaomi, Motorola và Realme.
Unisoc không phải cái tên xa lạ trong ngành bán dẫn di động. Hãng hiện là một trong những nhà sản xuất chip lớn, đứng sau MediaTek, Qualcomm và Apple về vị trí thị trường theo thông tin được đề cập trong báo cáo. Ngoài smartphone, chip Unisoc còn được sử dụng trong một số thiết bị IoT, sản phẩm nhà thông minh và các thiết bị kết nối khác.
Do cùng một SoC có thể được đưa lên nhiều mẫu điện thoại khác nhau, danh sách thiết bị chịu ảnh hưởng không chỉ giới hạn ở ba mẫu đã được kiểm tra. Về nguyên tắc, mọi thiết bị sử dụng một trong bốn chip nói trên đều cần được nhà sản xuất xác nhận tình trạng bảo mật riêng.
Ba mẫu điện thoại đã được dùng để kiểm tra
Nhóm nghiên cứu đã thử nghiệm lỗ hổng có biệt danh 0x50594d trên ba thiết bị:
- Realme C33.
- Xiaomi Redmi A5, sử dụng bản vá bảo mật cấp độ ngày 1/1/2026.
- Motorola E13, sử dụng bản vá bảo mật cấp độ ngày 1/2/2025.
Nguồn thông tin cũng cho biết các thiết bị thử nghiệm đã được cài bản cập nhật bảo mật Android tháng 7/2025. Chi tiết này cho thấy việc một chiếc điện thoại có bản vá tương đối mới không đồng nghĩa chắc chắn đã được bảo vệ trước lỗi nằm ở phần mềm modem hoặc firmware của nhà sản xuất chip.
Người dùng không nên chỉ dựa vào phiên bản Android hoặc ngày cập nhật bảo mật hiển thị trong phần cài đặt. Với các lỗi liên quan đến modem, bản vá có thể cần được triển khai thông qua firmware riêng từ nhà sản xuất điện thoại hoặc nhà cung cấp nền tảng.
Cuộc gọi video có thể bị lợi dụng như thế nào?
Để hiểu đơn giản, smartphone có nhiều khu vực xử lý độc lập. Modem phụ trách kết nối mạng di động, cuộc gọi và tin nhắn, trong khi kernel Android quản lý các quyền quan trọng của hệ điều hành, dữ liệu và ứng dụng.
Thông thường, hai khu vực này phải được ngăn cách bằng các cơ chế bảo vệ bộ nhớ. Modem không được phép tùy ý truy cập vào vùng bộ nhớ dành cho nhân hệ thống. Lỗ hổng được mô tả cho thấy ranh giới này có thể bị phá vỡ trong một số điều kiện nhất định trên các chip Unisoc bị ảnh hưởng.
Kẻ tấn công có thể khai thác quá trình xử lý tín hiệu của VoLTE, công nghệ được sử dụng để thực hiện cuộc gọi chất lượng cao trên mạng di động. Do mỗi gói tín hiệu chỉ chứa lượng dữ liệu giới hạn, mã độc sẽ được chia thành nhiều phần nhỏ rồi truyền liên tiếp đến thiết bị mục tiêu.
Khi modem xử lý các dữ liệu này, một đoạn mã hỗ trợ tìm kiếm trong bộ nhớ, được các nhà nghiên cứu gọi là “Egg Hunter”, có thể xác định và ghép các mảnh dữ liệu thành một chuỗi lệnh hoàn chỉnh. Sau đó, mã khai thác tìm cách vượt qua cơ chế bảo vệ MPU Region 0 để tác động đến vùng có quyền hạn cao hơn của hệ thống.
Nếu cuộc tấn công thành công, kẻ xấu có thể đạt quyền đọc, ghi và chỉnh sửa dữ liệu ở mức sâu. Về lý thuyết, quyền truy cập này có thể cho phép thay đổi hệ điều hành hoặc kiểm soát nhiều thành phần trên điện thoại. Đây là lý do lỗ hổng được đánh giá nghiêm trọng hơn những lỗi chỉ ảnh hưởng đến một ứng dụng riêng lẻ.
Rủi ro thực tế hiện đang ở mức nào?
Thông tin về lỗ hổng cần được phân biệt rõ với khẳng định rằng mọi điện thoại Unisoc đều có thể bị hack chỉ bằng một cuộc gọi bất kỳ. Thử nghiệm hiện được thực hiện trên mạng VoLTE được kiểm soát, không phải mạng thương mại của nhà mạng. Các thiết bị kiểm tra cũng đã được root, tức trạng thái hệ thống không hoàn toàn giống một chiếc điện thoại nguyên bản mà người dùng mua về sử dụng.
Vì vậy, chưa thể kết luận rằng cuộc tấn công sẽ luôn thành công trên mọi thiết bị trong điều kiện đời thực. Dù vậy, các nhà nghiên cứu cho rằng cách thiết bị đăng ký vào mạng của kẻ tấn công không khác biệt đáng kể so với quy trình kết nối thông thường. Bên cạnh đó, mã khai thác đã xuất hiện công khai trên internet, khiến nguy cơ bị những nhóm khác nghiên cứu và tận dụng không thể xem nhẹ.
Điểm đáng lo nằm ở chỗ cuộc tấn công nhắm vào lớp modem và firmware, thay vì một ứng dụng phổ biến. Nếu mã độc vượt qua được lớp bảo vệ này, các biện pháp bảo mật thông thường ở cấp ứng dụng có thể không đủ để ngăn chặn hoàn toàn.
Người dùng nên làm gì để giảm nguy cơ?
- Kiểm tra tên chip của điện thoại. Người dùng có thể xem thông tin phần cứng trong phần Cài đặt hoặc sử dụng công cụ hệ thống đáng tin cậy để xác định thiết bị có dùng Unisoc T612, T616, T606 hay T7250 hay không.
- Cập nhật hệ điều hành và firmware. Hãy cài đặt bản cập nhật do nhà sản xuất cung cấp ngay khi có thông báo. Ngày bản vá Android hiển thị trên máy không phải lúc nào cũng phản ánh toàn bộ tình trạng cập nhật của modem.
- Hạn chế trả lời cuộc gọi video từ số lạ. Đây không phải biện pháp thay thế cho bản vá, nhưng có thể giúp giảm bề mặt tấn công trong thời gian chờ thông tin chính thức. Người dùng nên đặc biệt cảnh giác với số không xác định hoặc cuộc gọi có dấu hiệu bất thường.
- Không root thiết bị nếu không cần thiết. Việc mở khóa hoặc can thiệp sâu vào hệ thống có thể làm thay đổi các lớp bảo vệ mặc định và khiến việc đánh giá rủi ro trở nên phức tạp hơn.
- Sao lưu dữ liệu quan trọng. Ảnh, danh bạ, tài liệu và dữ liệu xác thực nên được sao lưu ở nơi an toàn. Nếu thiết bị có biểu hiện bất thường sau một cuộc gọi đáng ngờ, người dùng nên ngắt kết nối, kiểm tra cập nhật và cân nhắc khôi phục máy theo hướng dẫn của nhà sản xuất.
Người dùng cũng có thể tham khảo các trường hợp nhà sản xuất phát hành bản cập nhật cho thiết bị cũ, chẳng hạn việc Samsung cập nhật Galaxy S8 và Note8 sau nhiều năm. Dù không liên quan trực tiếp đến các SoC Unisoc trong cảnh báo lần này, đây là lời nhắc rằng việc theo dõi thông báo phần mềm chính thức luôn rất quan trọng.
Đừng hoảng loạn, nhưng cũng không nên chủ quan
Lỗ hổng 0x50594d cho thấy bảo mật smartphone không chỉ phụ thuộc vào ứng dụng, mật khẩu hay hệ điều hành. Những thành phần ít được người dùng nhìn thấy như modem, firmware và cơ chế phân vùng bộ nhớ cũng có thể trở thành điểm yếu nghiêm trọng.
Ở thời điểm hiện tại, chưa có cơ sở để khẳng định mọi mẫu máy dùng chip Unisoc đều đang bị khai thác ngoài thực tế. Tuy nhiên, người dùng Realme C33, Xiaomi Redmi A5, Motorola E13 và các thiết bị dùng T612, T616, T606 hoặc T7250 nên chủ động kiểm tra cập nhật, theo dõi thông báo từ nhà sản xuất và tránh các cuộc gọi video không rõ nguồn gốc.
Biện pháp quan trọng nhất vẫn là cài bản vá chính thức khi được phát hành. Trong khi chờ nhà sản xuất đưa ra hướng xử lý cụ thể, thói quen không trả lời cuộc gọi đáng ngờ, không root máy và luôn sao lưu dữ liệu sẽ giúp giảm thiểu tác động nếu sự cố xảy ra.
Galaxy S27 Pro lộ thiết kế giống Ultra nhưng camera bị cắt giảm
iPhone 18 Pro Max có thể đổi thiết kế lấy thời lượng pin
REDMI Note 17 4G: Pin 7.700mAh, màn hình 120Hz
Điện thoại đắt hơn: Hãng bù giá cho người dùng ra sao?
Galaxy S26 FE: Bản S-series thực dụng, mạnh ở điều cần thiết
REDMI Note 17 Pro Max 5G: pin 10.000mAh, giá từ 15,99 triệu
Galaxy S26 FE: Thiết kế cao cấp, AI đầy đủ, giá từ 18,99 triệu
