TECHNOLOGIE

Luka GhostMap w Androidzie – ryzyko pętli awarii po instalacji APK

Analiza

Badacze z Bitdefender Labs odkryli w sierpniu 2026 roku poważną lukę w systemie Android, nazwaną GhostMap. Luka polega na rozbieżności w interpretacji pól metody kompresji i zadeklarowanej długości danych w plikach APK, które są przetwarzane przez biblioteki libziparchive i libandroidfw. Dzięki temu spreparowany pakiet instalacyjny może wymusić odczyt danych poza rzeczywistą zawartością pliku, co prowadzi do błędu SIGBUS i awarii kluczowego procesu system_server. Awaria ta nie wymaga uruchomienia aplikacji ani przyznania uprawnień – sam proces instalacji wywołuje cykl restartów, który utrzymuje się nawet po włączeniu trybu awaryjnego. Testy Bitdefendera wykazały ponad 100 cykli awarii w normalnym trybie i ponad 70 w trybie awaryjnym, przy czym pierwsza awaria pojawia się już po jednej sekundzie od instalacji. Luka dotyczy Androida od wersji 10 wzwyż i została odtworzona m.in. na urządzeniu Pixel 10 z Androidem 17 oraz najnowszą aktualizacją zabezpieczeń z 5 sierpnia 2026 roku. Google początkowo odrzuciło zgłoszenie, ale po otrzymaniu dowodu koncepcyjnego podniosło priorytet sprawy do poziomu High, choć do momentu publikacji analizy nie udostępniło łatki ani identyfikatora CVE.

Kontekst i Tło

GhostMap stanowi poważne zagrożenie dla użytkowników instalujących aplikacje spoza zaufanych źródeł, ponieważ może doprowadzić do nieodwracalnej pętli awarii, której jedynym rozwiązaniem jest przywrócenie ustawień fabrycznych lub usunięcie złośliwego pliku przez ADB, pod warunkiem włączonego debugowania USB. Brak szybkiej poprawki ze strony Google zwiększa ryzyko eksploatacji, zwłaszcza wśród użytkowników starszych wersji Androida. Problem podkreśla potrzebę wzmocnienia procesów weryfikacji APK w systemie oraz szybszego reagowania producentów na zgłoszenia bezpieczeństwa. Długoterminowo luka może wpłynąć na zaufanie do ekosystemu Android i wymusić bardziej rygorystyczne polityki dystrybucji aplikacji.

Komentarz Redakcji

To nie jest kolejny drobny błąd – to mechanizm, który zamraża smartfon w nieskończonej pętli, a producenci wciąż nie mają gotowego rozwiązania. Czas na poważne przemyślenie polityki bezpieczeństwa w Androidzie.