Een bug in Android maakt het mogelijk voor apps om zonder toestemming bijvoorbeeld betaalde telefoonnummers te bellen. Ook kunnen apps door de bug telefoongesprekken verbreken en verschillende soorten codes versturen waardoor de telefoon bepaalde acties uitvoert.

De kwetsbaarheid werd door beveiligingsonderzoekers van het Duitse Curesec ontdekt. De onderzoekers stellen dat de bug voor het eerst in Android 4.1.x werd geïntroduceerd en in Android 4.4.4 door Google is gepatcht. De bug werd eind 2013 door de onderzoekers aan het Android Security Team gerapporteerd. Het probleem wordt veroorzaakt door de omgang met permissies.

Normaal moet een app toestemming vragen om te kunnen bellen, maar de bug zorgt ervoor dat apps die deze permissie niet hebben gekregen de restrictie kunnen omzeilen en de belfunctie toch kunnen gebruiken. Een aanvaller zou hier bijvoorbeeld misbruik van kunnen maken om een app zonder toestemming van de gebruiker allerlei dure betaalde nummers te laten bellen.

Verder maakt de bug het mogelijk om gesprekken te verbreken en bepaalde codes uit te voeren, zoals USSD-, SS- of MMI-codes. Via deze codes is het mogelijk om gesprekken door te sturen, de simkaart te blokkeren of bijvoorbeeld de nummerweergave in te schakelen als die door de gebruiker was uitgeschakeld. Hoewel het probleem door Google gepatcht is, zou volgens cijfers van Google slechts 17,9% van de Android-toestellen inmiddels over Android 4.4.4 beschikken. 56,5% van de Android-gebruikers draait nog een Android-versie waar de bug in aanwezig is.