为什么Android版本低于5.0不会受到CVE-2017-13156的攻击？

Question

我只是在读Janus vulnerability (CVE-2017-13156)，有一件事我听不懂。

该漏洞在于APK和Signature Scheme v1（JAR签名）的安装实现。它允许您通过将恶意DEX文件添加到合法APK来制作恶意APK文件。安装了恶意的DEX文件，而不是合法APK的DEX文件。签名（如果使用v1方案）没有损坏。

上面链接中的内容提到了较弱的Android版本5.0及更高版本（CVE record提及的是5.1.1至8.0，但这不是现在的主要问题）。

所以我的问题是：

为什么5.0是Android漏洞最低的版本？低于5.0的Android是否使用其他签名方案？还是在Android 5.0和更新版本以及低于5.0的Android上安装APK的方式有所不同？

Answer 1

即使这个问题有点题外话...

ART，从Android 5.0开始，Android运行时替换了Dalvik VM。

并且显然，ART利用不适用于Dalvik VM。