GrapheneOS يصلح ثغرة تسريب VPN في Android رفضت Google إصلاحها
GrapheneOS تُصدر حلاً مؤقتاً لثغرة تجاوز VPN في Android
أصدرت GrapheneOS تحديثًا يغلق ثغرة تسريب جديدة في Android كانت قادرة على كشف عنوان IP الحقيقي للمستخدم، حتى عندما كانت أقوى حماية VPN في Android مفعّلة.
التصحيح، المدرج في إصدار GrapheneOS 2026050400، يعطل تحسين registerQuicConnectionClosePayload الذي أدى إلى التجاوز. وقالت GrapheneOS إن هذا التغيير يحيّد الهجوم عمليًا على أجهزة Pixel المدعومة.
تم الإفصاح عن المشكلة الأسبوع الماضي من قبل الباحث الأمني يوسف، المعروف على الإنترنت باسم lowlevel. في شروحات تقنية، قال الباحث إن الثغرة تؤثر على Android 16 وتنشأ من ميزة تفكيك اتصال QUIC أضيفت إلى طبقة الشبكات في Android. التطبيقات المتأثرة كانت تحتاج فقط إلى أذونات INTERNET وACCESS_NETWORK_STATE القياسية والممنوحة تلقائيًا.
ووفقا للتقرير، كان بإمكان تطبيق تسجيل حمولات UDP عشوائية مع system_server في Android. عندما يتم لاحقًا تدمير SOCKET الخاص بالتطبيق، يقوم system_server بإرسال الحمولة المخزنة عبر واجهة الشبكة الفيزيائية للجهاز بدلاً من إرسالها عبر نفق VPN. وبما أن system_server يعمل بصلاحيات شبكية مرتفعة ومعفى من قيود توجيه VPN، فقد تتمكن الحزمة من الهروب من وضع القفل في Android تمامًا.
قام يوسف بعرض الثغرة على جهاز Pixel 8 يعمل بنظام Android 16 مع تفعيل Proton VPN وتشغيل إعدادات Android “Always-On VPN” و"Block connections without VPN". ورغم تلك الحمايات، أبلغ أن الجهاز سرب عنوان IP العام الحقيقي إلى خادم بعيد.
قال الباحث إن فريق أمان Android في Google صنّف التقرير على أنه "Won’t Fix (Infeasible)" و"NSBC"، ما يعني أنه لن يُدرج في نشرة أمنية. استأنف يوسف القرار، مجادلًا بأن المشكلة سمحت لتطبيقات عادية بتسريب معلومات شبكة تعريفية باستخدام أذونات قياسية، لكن Google أبقت على موقفها ووافقت على الإفصاح العام في 29 أبريل.
تقدمت GrapheneOS، المبنية حول الخصوصية والأمان على أجهزة Google Pixel، بشكل أسرع. قال المشروع إنه عطل التحسين الأساسي لوقف التسريب، مضيفًا حلاً عمليًا للمستخدمين الذين يعتمدون على VPN لإخفاء هويتهم الشبكية.
المصادر:
تصفّح بشكل خاص مع Doppler VPN — لا سجلات، اتصال بلمسة واحدة.