Ein kürzlich entdeckter Leak in Android ermöglicht es jeder App, Datenverkehr außerhalb des VPN-Tunnels zu senden, selbst wenn "Block all connections without VPN" aktiv ist. Die bösartige App benötigt keine besonderen Berechtigungen, um diesen Angriff durchzuführen, und exponiert die echte IP-Adresse des Geräts für mögliche Nachverfolgung oder Überwachung. Der Forscher hat das Problem dem Android Vulnerability Reward Program gemeldet, aber es wurde ohne Maßnahmen geschlossen. Graphene OS ist sich bewusst und arbeitet an einer Lösung.

Technische Details zeigen, dass der Leak keep-alive UDP-Verbindungen nutzt, die an Hardware-Wi-Fi- oder Mobilfunkchips offloaded wurden. Sie sollten für NAT-Durchbruch verwendet werden, aber eine bösartige App kann dies missbrauchen, um UDP-Pakete an Port 4500 an jeden Server zu senden. Diese Pakete umgehen VPN-Überprüfungen, da sie direkt von Netzwerkhardware gesendet werden.

Mullvad bemerkt, dass eine theoretische Mitigation möglich wäre, indem man die Hardware-keep-alive-Kapazität füllt, aber sie werden es nicht implementieren, da es trotzdem Pakete außerhalb des Tunnels sendet und nicht garantiert funktioniert, wenn eine bösartige App den Leak zuerst initiiert. Der Schluss betont, nur vertrauenswürdige Apps zu installieren und privacy-fokussierte Android-Forks wie Graphene OS zu verwenden.