Уязвимость в Android позволяет приложениям «пробивать» VPN и показывать реальный IP пользователя

Исследователь Армин Шупук (Armin Šupuk) сообщил в своём блоге, что обычные приложения для Android могут раскрывать реальный IP-адрес пользователя в обход VPN.

В Android предусмотрены функции постоянного подключения (Always-on VPN) и запрета любых соединений в обход туннеля («Блокировать соединения без VPN»). Эта связка должна была гарантировать, что трафик приложений не покидает защищённый туннель. Однако специалист обнаружил архитектурный сбой в общедоступном механизме поддержания сетевого соединения NAT-T (Keepalive).

Для поддержания активности соединения система делегирует отправку коротких пакетов напрямую Wi-Fi-модулю на аппаратном уровне. Как выяснил Шупук, Android передаёт эту задачу сетевому чипу без предварительной проверки текущих правил VPN для конкретного приложения. В результате программа с базовым разрешением на доступ в интернет — без root, ADB и каких-либо специальных прав — может самостоятельно слать служебные пакеты напрямую через физический роутер в обход шифрования.

Передать пользовательские файлы или произвольный текст таким способом нельзя — формат служебных пакетов строго фиксирован платформой. Тем не менее злоумышленник может указать свой сервер в качестве адресата и каждые десять секунд получать на него эти пакеты, тем самым раскрывая реальный IP-адрес владельца устройства и точное время его активности.

Проблеме потенциально подвержено подавляющее большинство смартфонов на базе Android 12 и новее — соответствующие чипсеты Wi-Fi встречаются в 91% актуальных устройств. На практике утечку воспроизвели на нескольких устройствах разных производителей: полный перехват трафика через контролируемый роутер зафиксировали на Google Pixel 8 Pro, а на Samsung и Nothing подтвердили сам факт срабатывания уязвимого механизма (без захвата пакетов «по воздуху»).