En Android VPN-lækage kan afsløre en brugers rigtige IP-adresse, selv når VPN-nedlukning og ”Bloker alle forbindelser uden VPN” er aktiveret. Forskere har identificeret to ikke-rettede sårbarheder, som gør det muligt for apps at sende visse former for trafik uden om den krypterede tunnel.
Det nyeste problem misbruger Wi-Fi-keepalive-pakker og kan overføre data hvert tiende sekund. VPN-udbydere kan ikke forhindre lækagen på en pålidelig måde, fordi svagheden findes i selve Android.
Skadelige apps kan omgå VPN-tunnelen
Softwareingeniøren Armin Šupuk offentliggjorde en af sårbarhederne i sommeren 2026. Hans forskning viser, at en skadelig Android-app kan sende en UDP-pakke direkte til en server, som kontrolleres af en angriber.
Pakken sendes uden om VPN-tunnelen og afslører den offentlige IP-adresse for brugerens fysiske netværk. En angriber kan potentielt bruge disse oplysninger til sporing eller overvågning.
Sårbarheden ophæver ikke alle fordelene ved at bruge en VPN. Størstedelen af trafikken forbliver krypteret og skjult for internetudbydere og andre mellemled. Den lækkede pakke kan dog stadig afsløre oplysninger, som mange bruger en VPN til at skjule.
Wi-Fi-keepalive-pakker forårsager lækagen
En app kan oprette en keepalive-forbindelse til Network Address Translation Traversal og sende pakker til en server via port 4500. Så længe forbindelsen forbliver aktiv, kan trafik forlade enheden cirka hvert tiende sekund.
Android overdrager disse NAT-T-keepalive-forbindelser til enhedens Wi-Fi-hardware. Denne hardwareaflastning omgår de trafikfiltre, som VPN-apps normalt bruger.
Ifølge Šupuk var almindelige apps tidligere underlagt begrænsninger, som forhindrede dem i at åbne Wi-Fi-keepalive-pladser uden særlige rettigheder. Android fjernede senere denne beskyttelse. Derfor kan alle apps nu bruge funktionen uden at anmode om tilladelse eller få root-adgang.
Forskeren bekræftede, at metoden virkede på tre Android 16-enheder: Google Pixel 8 Pro, Samsung Galaxy Z Fold7 og Nothing Phone (3a).
Test viser også, at lækagen primært påvirker Wi-Fi-forbindelser og normalt ikke virker via IPv6. Alligevel er metoden pålidelig nok til gentagne gange at afsløre en IPv4-adresse.
VPN-udbydere kan ikke tilbyde en pålidelig løsning
Mullvad har advaret sine Android-brugere om sårbarheden. VPN-udbyderen forklarede, at en fuldstændig løsning ville kræve ændringer i Android-operativsystemet.
I teorien kan en VPN-app optage alle tilgængelige keepalive-forbindelser, før en anden app når at bruge dem. Denne løsning vil dog tvinge VPN-appen til selv at sende pakker uden om tunnelen.
Desuden kan en skadelig app oprette forbindelsen, før VPN-tjenesten starter. VPN-udviklere kan derfor ikke garantere, at denne metode vil forhindre Android VPN-lækagen.
Forskeren anmeldte problemet gennem Googles Android Vulnerability Reward Program. Google har dog angiveligt lukket indberetningen uden at implementere en rettelse.
GrapheneOS har anerkendt sårbarheden og fortsætter med at følge den i sit system til problemsporing. Forskere har ikke fundet beviser for, at nogen af de tusindvis af testede open source-apps i øjeblikket udnytter funktionen.
En anden Android-sårbarhed skaber endnu en IP-lækage
Android indeholder også en separat sårbarhed, som vedrører afbrydelsen af QUIC-forbindelser. Apps kan misbruge denne mekanisme til at sende trafik uden om en VPN og afsløre enhedens rigtige IP-adresse.
GrapheneOS har allerede rettet det andet problem i sit sikkerhedsfokuserede operativsystem. Standardversionen af Android er dog angiveligt stadig sårbar, mens de enkelte VPN-udbydere ikke selv kan lukke hullet.
Tilsammen viser de to sårbarheder, at Androids nedlukningsindstillinger ikke blokerer alle mulige forbindelser uden om en VPN-tunnel. Brugerne er stadig beskyttet under størstedelen af deres onlineaktiviteter, men de kan ikke gå ud fra, at deres rigtige IP-adresse altid forbliver skjult.
0 svar til “Ikke-rettede Android VPN-sårbarheder kan afsløre brugernes rigtige IP-adresser”