GrapheneOS가 Google이 수정 거부한 Android VPN 누출을 패치
GrapheneOS가 Android의 VPN 우회 버그에 대한 우회 해결책을 배포
GrapheneOS는 최근 공개된 Android VPN 누출을 막는 업데이트를 공개했습니다. 이 누출은 Android의 가장 강력한 VPN 보호 기능이 활성화된 상태에서도 사용자의 실제 IP 주소를 노출시킬 수 있었습니다.
해결책은 GrapheneOS 2026050400 릴리스에 포함되었으며, 우회를 일으킨 registerQuicConnectionClosePayload 최적화를 비활성화합니다. GrapheneOS에 따르면 이 변경은 지원되는 Pixel 기기에서 공격을 사실상 무력화합니다.
이 문제는 지난주 보안 연구원 Yusuf(온라인 핸들 lowlevel)에 의해 공개되었습니다. 기술적 분석에서 연구원은 이 버그가 Android 16에 영향을 미치며 Android의 네트워킹 스택에 추가된 QUIC 연결 해제 기능에서 기인한다고 밝혔습니다. 영향받는 앱은 표준으로 자동으로 부여되는 INTERNET 및 ACCESS_NETWORK_STATE 권한만 필요했습니다.
보고서에 따르면 앱은 Android의 system_server에 임의의 UDP 페이로드를 등록할 수 있었습니다. 앱의 UDP 소켓이 이후에 파괴될 때, system_server는 저장된 페이로드를 VPN 터널을 통하지 않고 기기의 물리적 네트워크 인터페이스를 통해 전송했습니다. system_server는 네트워킹 권한이 상승된 상태로 실행되며 VPN 라우팅 제한의 예외이기 때문에, 해당 패킷은 Android의 강제 차단 모드(lockdown mode)를 완전히 벗어날 수 있었습니다.
Yusuf는 Proton VPN이 활성화되고 Android의 “항상 켜진 VPN” 및 “VPN 없이 연결 차단” 설정이 켜진 상태의 Android 16을 실행하는 Pixel 8에서 이 취약점을 시연했습니다. 이러한 보호 설정에도 불구하고, 해당 기기는 외부 서버에 실제 공용 IP 주소를 유출한 것으로 보고되었습니다.
연구원은 Google의 Android 보안팀이 이 보고서를 “Won’t Fix (Infeasible)” 및 "NSBC"로 분류했다고 밝혔습니다. 이는 보안 권고문에 포함되지 않는다는 뜻입니다. Yusuf는 일반 앱이 표준 권한만으로 식별 가능한 네트워크 정보를 유출할 수 있다고 주장하며 이의를 제기했지만, Google은 입장을 유지했고 4월 29일 공개 공개를 승인했습니다.
GrapheneOS는 Google Pixel 하드웨어에서 프라이버시와 보안을 중심으로 구축된 프로젝트로서 더 빠르게 대응했습니다. 이 프로젝트는 누출을 막기 위해 근본이 되는 최적화를 비활성화했다고 밝혔으며, 네트워크 식별 정보를 숨기기 위해 VPN에 의존하는 사용자들에게 실질적인 해결책을 제공했습니다.
출처:
[Doppler VPN]로 안전하게 탐색하세요 — 로그 없음, 원터치 연결.