Wie Forscher von Bitdefender herausfanden und BleepingComputer am 5. November berichtete, kann eine bösartige App ein Android-Gerät allein durch ihre Installation in eine dauerhafte Neustartschleife zwingen, ohne Berechtigungen anzufordern oder geöffnet zu werden. Die Behebung der als GhostMap bezeichneten Schwachstelle kann ein Zurücksetzen auf die Werkseinstellungen erfordern, das lokal gespeicherte Daten löscht, sofern der Debugging-Zugriff nicht bereits aktiviert war.
Bitdefender demonstrierte das Problem auf einem Pixel 10 mit Android 17 und dem Sicherheitspatch vom 5. August. Die Demonstrations-App enthielt keinen ausführbaren Code und benötigte nach der Installation keine Benutzerinteraktion. Die Forscher entdeckten die Schwachstelle, als sie einen Android-Banking-Trojaner untersuchten, der beim Lesen einer Anwendungsressource wiederholt ihre Emulatoren zum Absturz brachte.
Bitdefender gibt an, GhostMap im August an Google gemeldet zu haben. Google stufte das Problem jedoch als nicht reproduzierbar ein und veröffentlichte keinen Patch. Die im Bericht beschriebene Ausnutzung ist eine Demonstration von Bitdefender und keine dokumentierte Angriffskampagne.
Wie die Installation die Abstürze auslöst
GhostMap beruht darauf, dass zwei Android-Bibliotheken ZIP-Kompressionsverfahren unterschiedlich interpretieren. Ein fehlerhaftes APK – ein Android-Anwendungspaket – kann diese Abweichung nutzen, um Größenprüfungen zu umgehen, sodass Android eine Datei über ihren tatsächlichen Inhalt hinaus in den Speicher abbildet.
Wenn ein Prozess den ungültigen Bereich liest, erhält er SIGBUS, ein Signal, das einen Prozess stoppt, der auf ungültigen Speicher zugreifen will. Jeder Prozess, der auf die betroffene Datei zugreift, kann abstürzen, so die Forscher.
Für seine Demonstration nimmt Bitdefender eine Ressource auf, die der zentrale Dienst system_server von Android nach der Installation automatisch liest. Beim Lesen stürzt der Dienst ab. Wenn er neu startet, liest er dieselbe Ressource erneut und stürzt wieder ab, wodurch die dauerhafte Schleife entsteht.
Auf dem Test-Pixel begannen die Abstürze etwa eine Sekunde nach der Installation. Die Forscher zählten 110 Wiederholungen im normalen Startmodus und 72 im abgesicherten Modus. Bitdefender warnt zudem, dass die Schleife verhindert, dass Nutzer den abgesicherten Modus aufrufen können, der normalerweise zur Fehlerbehebung und Wiederherstellung dient.
Googles Reaktion und Wiederherstellungsoptionen
Bitdefender meldete das Problem Google erstmals am 20. August und erhielt eine Antwort mit dem Status „Won’t Fix (Not Reproducible)“, die es als außerhalb des Geltungsbereichs behandelte. Da die Forscher davon ausgingen, dass Google den Bericht falsch eingestuft hatte, reichten sie am 25. August eine erweiterte Fassung ein.
Google betrachtete das Problem weiterhin als nicht Teil eines Sicherheitsupdates, behielt es jedoch für ein künftiges Update vor, so Bitdefender. BleepingComputer hatte bei Google nach dem Stand der Korrektur gefragt und wartete bei der Veröffentlichung seines Artikels noch auf eine Antwort.
Laut Bitdefender lässt sich der Angriff nur während der Installation stoppen. Sicherheitslösungen von Drittanbietern können die Bedrohung zwar erkennen und eine Warnung anzeigen, haben aber keine Berechtigung, die Installation zu blockieren.
Für Nutzer, deren Geräte bereits in der Schleife gefangen sind, nennt der Bericht zwei Wiederherstellungsoptionen: ein Zurücksetzen auf die Werkseinstellungen oder das Löschen der fehlerhaften Datei über die Android Debug Bridge (ADB), ein Debugging-Werkzeug. Die Wiederherstellung über ADB setzt voraus, dass das Debugging zuvor aktiviert wurde, und Entfernungsskripte müssen handeln, bevor das System erneut abstürzt. Ein Zurücksetzen auf die Werkseinstellungen löscht alle lokal gespeicherten Daten.
