Androidに新たなVPNトラフィック漏洩の脆弱性が発見される
Another way to leak traffic on Android has been discovered
Androidのネットワークスタックに新たな脆弱性が発見され、悪意のあるアプリがVPNトンネル外にトラフィックを送信できるようになりました。この脆弱性は、VPN接続がない場合に全ての接続をブロックする設定が有効な場合でも機能します。このトラフィック漏洩により、デバイスの実際のIPアドレスがインターネット上に公開される可能性があり、追跡や監視に利用される恐れがあります。この攻撃には特別な権限は不要です。発見者によると、この問題はAndroidの脆弱性報奨金プログラムに報告されましたが、対応されずにクローズされたとのことです。GrapheneOSはこの問題について認識しており、修正に取り組んでいます。技術的には、ハードウェアWi-FiまたはセルラーチップにオフロードされるキープアライブUDP接続を利用し、ポート4500宛てのUDPパケットをインターネット上の任意のサーバーに送信することで、VPNトンネルをバイパスします。理論的な緩和策としては、ネットワークハードウェアのキープアライブ接続数制限を利用し、容量がいっぱいになるまで自らキープアライブ接続を作成することが考えられますが、Mullvadはこの緩和策を提供する予定はありません。
- Androidのネットワークスタックに新たな脆弱性が発見され、悪意のあるアプリが追加権限なしでVPNトンネル外にトラフィックを送信できる。VPN接続がない場合に全接続をブロックする設定が有効でも機能する。
- この漏洩によりデバイスの実際のIPアドレスがインターネット上に公開される可能性があり、追跡・監視に悪用されうる。ハードウェアWi-Fi/セルラーチップにオフロードされるキープアライブUDP接続を利用し、ポート4500宛てのUDPパケットでVPNトンネルをバイパスする。
- 発見者はAndroidの脆弱性報奨金プログラムに報告したが、対応されずクローズされた。
- GrapheneOSはこの問題を認識し修正に取り組んでいる。一方Mullvadはキープアライブ接続数の上限を利用する緩和策を提供する予定はないとしている。
AndroidのVPNトンネル外へのトラフィック漏洩という、追加権限不要で悪用可能な脆弱性が発見され、しかもGoogleの脆弱性報奨金プログラムでは修正されずクローズされた点が重い。VPN利用者の実IPが露呈し追跡・監視に使われ得るため、VPN事業者(Mullvadは緩和策を提供しない方針)やプライバシー重視OS(GrapheneOS)の信頼性・競争力に直接影響する。モバイルセキュリティおよびプライバシー保護ソリューションへの需要・評価に波及しうる案件として注視したい。