Der Sicherheitsforscher Mark Blah hat eine technische Analyse der Schwachstelle veröffentlicht. Ursache ist eine unzureichende Prüfung eines Header-Längenwerts in der Android-Funktion WapPushOverSms.decodeWapPdu. Für den Angriff genügt eine fehlerhaft aufgebaute WAP-Push-Nachricht von acht Byte. Der darin enthaltene Wert wird ohne Bereichsprüfung in eine vorzeichenbehaftete 32-Bit-Ganzzahl übersetzt und ergibt dabei -2147483648. Beim Versuch, Speicher in dieser negativen Größe zu reservieren, löst Android eine NegativeArraySizeException aus, die den Prozess com.android.phone abstürzen lässt. Da dieser Prozess die Mobilfunkfunktionen verwaltet, bricht die Verbindung ab, laufende Telefonate – einschließlich Notrufen – werden getrennt.
Nach Angaben des Forschers kann es zu wiederholten Abstürzen kommen, wenn Mobilfunkanbieter die bösartigen Nachrichten erneut zustellen oder Android bereits auf dem Gerät gespeicherte Nachrichten verarbeitet. In Tests führte der Versand von 20 präparierten Nachrichten dazu, dass Telefone in Neustartschleifen hängen blieben. Ein Android-12-Gerät startete etwa alle 90 Sekunden in den Recovery-Modus; zur Wiederherstellung war ein Zurücksetzen auf Werkseinstellungen nötig.
Ein GitHub-Mitwirkender namens Sakis fand einen Weg, die bösartigen Nachrichten über die Android Debug Bridge (ADB) zu entfernen. Das Verfahren setzt allerdings fortgeschrittene technische Kenntnisse und Zugriff auf einen Computer voraus.
Blah zufolge hat Google die Lücke mit den Android-Sicherheitsupdates vom Oktober 2026 für Android 14 bis 17 geschlossen. In Googles Sicherheitsbulletin für Oktober ist der Fehler jedoch nicht aufgeführt. Ältere Geräte mit Android 12 und 13 bleiben verwundbar, da sie die Korrektur nicht erhalten haben.
Googles Korrektur trägt den Titel „Fix remote DoS in decodeWapPdu". Sie fängt die Ausnahmen ab, die beim Verarbeiten der fehlerhaften Textnachrichten entstehen, und löscht zudem die bösartigen Nachrichten aus der SMS-Datenbank, damit sie keine weiteren Abstürze auslösen können.
Der veröffentlichte Proof-of-Concept-Exploit versendet die bösartigen Nachrichten von einem anderen Android-Gerät aus. Android-Sicherheitsupdates werden auf unterstützten Geräten in der Regel automatisch installiert; ihre Verfügbarkeit hängt jedoch vom Gerätehersteller und vom Mobilfunkanbieter ab, und zum Abschluss der Installation kann ein Neustart erforderlich sein.