AndroidにVPNを迂回する脆弱性、実IPアドレスが露出する可能性

AndroidのVPNを迂回してUDPトラフィックが漏えいする脆弱性

Androidで、VPNトンネルの外部にネットワークトラフィックが漏えいする可能性のある脆弱性が確認された。特に、「VPNを使用しない接続をブロック」する設定を有効にしている場合でも、悪意のあるアプリが一部のネットワークトラフィックをVPNの外部へ送信できることが明らかになった。これにより、ユーザーの実IPアドレスが外部に露出し、追跡などに利用される可能性がある。

この問題は、Android端末がWi-Fiやセルラー通信のハードウェアを介してUDPキープアライブ通信を生成する仕組みに関連している。UDPキープアライブはNAT環境で通信状態を維持するために使用されるが、悪意のあるアプリがこの仕組みを利用することで、UDPパケットをVPNトンネルの外部へ送信できるという。パケットがVPNによるトラフィック制御を経由せず、ネットワークハードウェア側から送信されることで、本来VPN外の通信を遮断する設定が適用されない可能性がある。

GoogleとGrapheneOSの対応状況

この脆弱性はAndroid Vulnerability Rewards Program（VRP）を通じてGoogleに報告されたものの、現時点では根本的な修正には至っていないとされる。一方、GrapheneOSはこの問題を認識しており、VPNトンネル外へのトラフィック漏えいを防ぐためのパッチを進めている。

ただし、現時点で利用できる緩和策は限定的で、特定のUDPトラフィックがVPNを迂回する挙動を完全に防げない可能性がある。今回の問題は悪意のあるアプリから悪用される可能性があるため、アプリの入手元や権限を確認するとともに、VPN外で発生するネットワーク通信を監視することが、同様の挙動を把握する手掛かりとなる。