GhostMap-Android-Sicherheitslücke bringt Smartphones zum Absturz

Eine neue Schwachstelle in Android ermöglicht es, Smartphones dauerhaft in einer Absturzschleife gefangen zu halten. Dafür reicht allein die Installation einer präparierten App. Ein Öffnen ist nicht nötig, meist hilft nur ein Werksreset.

Gefahr schon bei Installation

Betroffen sind die Versionen Android 10 bis zum aktuellen Android 17. Die Geräte geraten in eine endlose Absturzschleife, ohne dass Nutzer die App öffnen müssen. Diese fordert weder Berechtigungen an noch enthält sie ausführbaren Code.

Nach jedem Neustart versucht ein zentraler Systemprozess erneut, auf die fehlerhaften Ressourcen zuzugreifen. Dadurch stürzt das Gerät immer wieder ab. Auch der abgesicherte Modus hilft nicht. Betroffenen bleibt in der Regel nur das Zurücksetzen auf die Werkseinstellungen, wobei alle lokal gespeicherten Daten verloren gehen. Nur wenn USB-Debugging zuvor aktiviert wurde, lässt sich die fehlerhafte Datei unter Umständen über einen Computer entfernen.

Androids alte ZIP-Probleme

Entdeckt wurde die als GhostMap bezeichnete Schwachstelle von Bitdefender. Die Sicherheitsforscher stießen im August 2026 bei der Analyse eines Banking-Trojaners darauf. Ursache ist die Verarbeitung von ZIP-Archiven, zu denen auch APK-Installationsdateien gehören. Zwei Systembibliotheken interpretieren Angaben zur Kompressionsmethode und zur entpackten Dateigröße unterschiedlich.

Dadurch lädt das System eine Datei in einen nicht zugewiesenen Speicherbereich. Greift ein Prozess darauf zu, bricht der Prozessor den Vorgang mit einem Fehler ab. Solche Unterschiede bei der Dateiverarbeitung führen seit mehr als einem Jahrzehnt zu Schwachstellen in Android. Bereits Master Key von 2013 und Janus von 2017 nutzten aus, dass Android-Komponenten denselben ZIP-Container unterschiedlich auslesen.

Kein Patch in Aussicht

Bislang wurden keine Angriffe mit GhostMap beobachtet. Kriminelle könnten die Technik jedoch nutzen, um Geräte für Erpressungen zu sperren oder Sicherheitsprogramme beim Scannen zum Absturz zu bringen. Trotz mehrfacher Meldungen der Entdecker lehnte Google ein kurzfristiges Sicherheitsupdate ab. Das Unternehmen stufte den Fehler als nicht für einen Patch qualifiziert ein, will ihn aber für künftige Android-Versionen prüfen.

Interessanterweise hat Google bereits eine weniger schwerwiegende Version dieser Schwachstelle behoben. Aus dem Sicherheitsbulletin vom November 2016, CVE-2016-6724:

Eine Denial-of-Service-Schwachstelle im Input Manager Service könnte es einer bösartigen lokalen Anwendung ermöglichen, einen fortlaufenden Neustart des Geräts auszulösen. Dieses Problem wird als "mäßig" eingestuft, da es sich um einen vorübergehenden Denial-of-Service handelt, dessen Behebung ein Zurücksetzen auf die Werkseinstellungen erfordert.

Was meint ihr zu Googles Entscheidung bei diesem Fehler? Findet ihr die Einstufung des Unternehmens nachvollziehbar oder zu riskant? Teilt eure Meinung gerne in den Kommentaren! Siehe auch: