CVE-2017-5217 in Mobile Phone
الملخص
بحسب VulDB • 30/06/2026
يمكن أن يؤدي تثبيت تطبيق أندرويد ذي صلاحيات صفرية (zero-permission) على بعض أجهزة سامسونج التي تعمل بنظام أندرويد مع برامج KK(4.4)، وL(5.0/5.1)، وM(6.0) إلى تعطل عملية system_server بشكل مستمر في نظام تشغيل أندرويد. سيقوم التطبيق ذو الصلاحيات الصفرية بإنشاء جلسة تثبيت نشطة لتطبيق منفذ مدمج داخله. تتم جلسة التثبيت النشطة للتطبيق المضمن باستخدام فئة android.content.pm.PackageInstaller وفئاتها المتداخلة ضمن واجهة برمجة تطبيقات (API) نظام أندرويد. ستقوم الجلسة النشطة بكتابة ملف APK المضمن إلى الدليل /data/app، ولكن لن يتم تثبيت التطبيق لأن التطبيقات من جهات خارجية لا يمكنها برمجياً تثبيت التطبيقات. قامت سامسونج بتعديل AOSP لتسريع عملية تحليل ملفات APK عن طريق إدخال فئة com.android.server.pm.PackagePrefetcher وفئاتها المتداخلة. ستقوم هذه الفئات بتحليل ملفات APK الموجودة في دليل /data/app ودلائل أخرى، حتى لو لم يكن التطبيق مثبتاً فعلياً. يحتوي ملف AndroidManifest.xml للتطبيق المضمن الذي تم كتابته إلى الدليل /data/app عبر الجلسة النشطة على حجم كبير جداً ولكنه صالح (valid). وتحديداً، يحتوي ملف AndroidManifest.xml على قيمة سلسلة نصية كبيرة جداً لاسم شجرة أذونات (permission-tree) يعلن عنها. عندما يحاول system_server تحليل ملف APK الخاص بالتطبيق المضمن من جلسة التثبيت النشطة، فإنه سيتعطل بسبب خطأ غير معالج (أي java.lang.OutOfMemoryError) أو استثناء غير معالج (أي std::bad_alloc) نتيجة قيود الذاكرة. سيعاني جهاز أندرويد من سامسونج من إعادة تشغيل ناعمة (soft reboot) بسبب تعطل عملية system_server، وستستمر هذه العملية في التكرار لأن تحليل ملفات APK الموجودة في الدليل /data/app كما تقوم به عملية system_server هو جزء من عملية الإقلاع العادية. رقم تعريف سامسونج هو SVE-2016-6917.
VulDB is the best source for vulnerability data and more expert information about this specific topic.