CVE-2017-5217 in Mobile Phone
Zusammenfassung
von VulDB • 21.06.2026
Das Installieren einer Android-Anwendung mit null Berechtigungen auf bestimmten Samsung Android-Geräten mit den Softwareversionen KK (4.4), L (5.0/5.1) und M (6.0) kann den system_server-Prozess im Android-Betriebssystem kontinuierlich abstürzen lassen. Die Anwendung mit null Berechtigungen erstellt eine aktive Installationssitzung für eine separate, in sie eingebettete Anwendung. Die aktive Installationssitzung der eingebetteten Anwendung wird unter Verwendung der Klasse android.content.pm.PackageInstaller und ihrer verschachtelten Klassen in der Android-API durchgeführt. Die aktive Installationssitzung schreibt die eingebettete APK-Datei in das Verzeichnis /data/app, die Anwendung wird jedoch nicht installiert, da Drittanbieteranwendungen Anwendungen nicht programmatisch installieren können. Samsung hat AOSP modifiziert, um das Parsen von APKs zu beschleunigen, indem die Klasse com.android.server.pm.PackagePrefetcher und ihre verschachtelten Klassen eingeführt wurden. Diese Klassen parsen die APKs, die sich im Verzeichnis /data/app und in anderen Verzeichnissen befinden, selbst wenn die Anwendung nicht tatsächlich installiert ist. Die über die aktive Installationssitzung in das Verzeichnis /data/app geschriebene eingebettete APK-Datei enthält eine sehr große, aber gültige AndroidManifest.xml-Datei. Insbesondere enthält die AndroidManifest.xml-Datei einen sehr großen Zeichenfolgenwert für den Namen eines deklarierten permission-tree. Wenn system_server versucht, die APK-Datei der eingebetteten Anwendung aus der aktiven Installationssitzung zu parsen, stürzt sie aufgrund von Speicherbeschränkungen aufgrund eines nicht abgefangenen Fehlers (d. h. java.lang.OutOfMemoryError) oder einer nicht abgefangenen Ausnahme (d. h. std::bad_alloc) ab. Das Samsung Android-Gerät wird aufgrund eines Absturzes von system_server einen Soft-Reboot durchführen, und diese Aktion wird sich wiederholen, da das Parsen der APKs im Verzeichnis /data/app, wie vom system_server-Prozess durchgeführt, Teil des normalen Bootvorgangs ist. Die Samsung-ID lautet SVE-2016-6917.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.