GrapheneOS、Googleが修正を拒否したAndroidのVPN漏洩を修正
GrapheneOSがAndroidのVPNバイパス不具合に対する回避策を提供
GrapheneOSは、Androidの新たに公表されたVPN漏洩を塞ぐアップデートを公開しました。この漏洩は、Androidの最も強力なVPN保護が有効でもユーザーの実際のIPアドレスを露出させる可能性がありました。
GrapheneOSリリース2026050400に含まれる修正は、バイパスを引き起こしていた最適化 registerQuicConnectionClosePayload を無効化するものです。GrapheneOSは、この変更により対応対象のPixelデバイスで攻撃が事実上無効化されると述べています。
この問題は先週、オンラインで lowlevel として知られるセキュリティ研究者 Yusuf によって開示されました。研究者の技術レポートによれば、このバグはAndroid 16に影響し、Androidのネットワーキングスタックに追加されたQUIC接続の切断（teardown）機能に起因するとのことです。影響を受けるアプリには、標準で自動付与される INTERNET と ACCESS_NETWORK_STATE の権限だけで十分でした。
報告によれば、アプリは任意のUDPペイロードをAndroidの system_server に登録できました。そのアプリのUDPソケットが後で破棄されると、system_server は保存していたペイロードをVPNトンネルを経由せずにデバイスの物理的ネットワークインターフェースへ送信してしまいました。system_server はネットワーキングに関する特権を持って実行され、VPNルーティングの制限から免除されているため、そのパケットはAndroidのロックダウンモードを完全に回避する可能性がありました。
Yusufは、Android 16を搭載したPixel 8上で Proton VPN を有効にし、Androidの「Always-On VPN」と「Block connections without VPN」設定をオンにした状態でこの脆弱性を実証しました。これらの保護が有効であっても、デバイスはリモートサーバーへ実際のパブリックIPアドレスを漏らしてしまったと報告されています。
研究者は、GoogleのAndroidセキュリティチームがこの報告を「Won’t Fix (Infeasible)」かつ「NSBC」と分類し、セキュリティ公告に含めないとしたと述べています。Yusufは、標準的な権限で通常のアプリが識別可能なネットワーク情報を漏洩させ得ると反論してアピールしましたが、Googleは見解を変えず、4月29日に公表を承認しました。
プライバシーとセキュリティを重視してGoogle Pixelハードウェア向けに構築されたGrapheneOSは、より迅速に対応しました。プロジェクトは漏洩を止めるために基礎となる最適化を無効化したと述べ、ネットワーク識別情報を隠すためにVPNに依存しているユーザーにとって実用的な修正を提供しました。
Sources:
プライベートに閲覧するには Doppler VPN を — ログなし、ワンタップで接続。