罗马尼亚网络安全公司 Bitdefender 披露了一个名为 GhostMap 的安卓漏洞：特制应用无需任何权限，只需安装（无需启动），就能让设备陷入持续的启动死循环，造成持久拒绝服务。据 BleepingComputer 报道，谷歌自 8 月起就已知晓此事，但以「无法复现」为由关闭了报告，未发布补丁。
据 Bitdefender 介绍，GhostMap 源于两个安卓库对 ZIP 压缩方式的解释不一致。畸形 APK 可以绕过大小检查，被映射到文件实际内容之外的未分配内存区域。读取这样的条目，会在触碰该文件的进程中触发 SIGBUS（CPU 发出的信号，用于终止访问无效内存空间的进程）。
Bitdefender 是在分析一款安卓银行木马时发现该问题的：这款木马读取某个应用资源时，不断使研究人员的模拟器崩溃。
研究人员做了一个演示应用：不含可执行代码，安装时不申请权限，也无需在设备上启动。应用中的一项资源会在安装后被核心服务 system_server 自动读取，触发漏洞后进程重启，又去读取同一资源再次崩溃，如此往复。
测试设备为运行 Android 17、打了 8 月 5 日安全补丁的 Pixel 10。安装应用约 1 秒后开始崩溃，正常启动模式下循环 110 次，安全模式下循环 72 次。Bitdefender 称，启动循环还会阻止用户进入安全模式，而安全模式本可用于排查问题和恢复设备。
停止崩溃有两种办法：
Bitdefender 于 8 月 20 日向谷歌报告，得到「Won’t Fix (Not Reproducible)」的答复，并被认定超出范围。8 月 25 日，研究人员认为谷歌对原报告的归类有误，提交了扩展版本；谷歌仍认为不在安全更新范围内，但表示保留供未来更新考虑。BleepingComputer 已就修复状态联系谷歌，目前尚未收到回复。
Bitdefender 称，唯一的拦截机会在安装阶段：第三方安全工具或许能检测到威胁并显示警告，但无权阻止安装。
