En Android VPN-lekkasje kan avsløre en brukers virkelige IP-adresse selv når VPN-nedstenging og «Blokker alle tilkoblinger uten VPN» er aktivert. Forskere har identifisert to urettede sårbarheter som gjør det mulig for apper å sende deler av trafikken utenfor den krypterte tunnelen.
Det nyeste problemet misbruker Wi-Fi-keepalive-pakker og kan overføre data hvert tiende sekund. VPN-leverandører kan ikke forhindre lekkasjen på en pålitelig måte fordi svakheten finnes i selve Android.
Skadelige apper kan omgå VPN-tunnelen
Programvareingeniør Armin Šupuk offentliggjorde en av sårbarhetene sommeren 2026. Forskningen hans viser at en skadelig Android-app kan sende en UDP-pakke direkte til en server som kontrolleres av en angriper.
Pakken sendes utenfor VPN-tunnelen og avslører den offentlige IP-adressen til brukerens fysiske nettverk. En angriper kan potensielt bruke denne informasjonen til sporing eller overvåking.
Sårbarheten opphever ikke alle fordelene ved å bruke et VPN. Mesteparten av trafikken forblir kryptert og skjult for internettleverandører og andre mellomledd. Den lekkede pakken kan imidlertid fortsatt avsløre informasjon som mange bruker et VPN for å skjule.
Wi-Fi-keepalive-pakker forårsaker lekkasjen
En app kan opprette en keepalive-tilkobling for Network Address Translation Traversal og sende pakker til en server via port 4500. Så lenge tilkoblingen forblir aktiv, kan trafikk forlate enheten omtrent hvert tiende sekund.
Android overlater disse NAT-T-keepalive-tilkoblingene til enhetens Wi-Fi-maskinvare. Denne maskinvareavlastningen omgår trafikkfiltrene som VPN-apper vanligvis bruker.
Ifølge Šupuk var vanlige apper tidligere underlagt begrensninger som hindret dem i å åpne Wi-Fi-keepalive-plasser uten særskilte rettigheter. Android fjernet senere denne beskyttelsen. Dermed kan alle apper nå bruke funksjonen uten å be om tillatelse eller få root-tilgang.
Forskeren bekreftet at metoden fungerte på tre Android 16-enheter: Google Pixel 8 Pro, Samsung Galaxy Z Fold7 og Nothing Phone (3a).
Tester viser også at lekkasjen hovedsakelig påvirker Wi-Fi-tilkoblinger og vanligvis ikke fungerer over IPv6. Likevel er metoden pålitelig nok til å avsløre en IPv4-adresse gjentatte ganger.
VPN-leverandører kan ikke tilby en pålitelig løsning
Mullvad har advart Android-brukerne sine om sårbarheten. VPN-leverandøren forklarte at en fullstendig løsning ville kreve endringer i Android-operativsystemet.
I teorien kan en VPN-app oppta alle tilgjengelige keepalive-tilkoblinger før en annen app rekker å bruke dem. Denne løsningen vil imidlertid tvinge VPN-appen til selv å sende pakker utenfor tunnelen.
Dessuten kan en skadelig app opprette tilkoblingen før VPN-tjenesten starter. VPN-utviklere kan derfor ikke garantere at denne metoden vil forhindre Android VPN-lekkasjen.
Forskeren rapporterte problemet gjennom Googles Android Vulnerability Reward Program. Google skal imidlertid ha lukket rapporten uten å implementere en rettelse.
GrapheneOS har bekreftet sårbarheten og fortsetter å følge den i sitt system for problemsporing. Forskere har ikke funnet bevis for at noen av de tusenvis av testede appene med åpen kildekode utnytter funksjonen for øyeblikket.
En annen Android-sårbarhet skaper ytterligere en IP-lekkasje
Android inneholder også en separat sårbarhet knyttet til avslutning av QUIC-tilkoblinger. Apper kan misbruke denne mekanismen til å sende trafikk utenfor et VPN og avsløre enhetens virkelige IP-adresse.
GrapheneOS har allerede rettet det andre problemet i sitt sikkerhetsfokuserte operativsystem. Standardversjonen av Android skal imidlertid fortsatt være sårbar, mens individuelle VPN-leverandører ikke kan tette sikkerhetshullet på egen hånd.
Til sammen viser de to sårbarhetene at Androids nedstengingsinnstillinger ikke blokkerer alle mulige tilkoblinger utenfor en VPN-tunnel. Brukerne får fortsatt beskyttelse for mesteparten av aktiviteten sin på nettet, men de kan ikke gå ut fra at den virkelige IP-adressen alltid forblir skjult.
0 responses to “Uoppdaterte Android VPN-sårbarheter kan avsløre brukernes virkelige IP-adresser”