Une fuite récemment découverte sur Android permet à n'importe quelle application d'envoyer du trafic en dehors du tunnel VPN, même lorsque "Bloquer toutes les connexions sans VPN" est actif. L'application malveillante n'a besoin d'aucun privilège spécial pour effectuer cette attaque, exposant l'adresse IP réelle de l'appareil pour un suivi ou une surveillance potentielle. Le chercheur a signalé le problème au programme Android Vulnerability Reward Program, mais il a été fermé sans action. Graphene OS est au courant et travaille sur une correction.

Les détails techniques révèlent que la fuite exploite des connexions UDP keep-alive transférées vers des puces matérielles Wi-Fi ou cellulaires. Destinées à la traversée NAT, une application malveillante peut abuser de cela pour envoyer des paquets UDP sur le port 4500 à n'importe quel serveur. Ces paquets contournent les vérifications VPN car ils sont envoyés directement depuis le matériel réseau.

Mullvad note que la mitigation est théoriquement possible en remplissant la capacité keep-alive matérielle, mais ils ne l'implémenteront pas car cela envoie toujours des paquets en dehors du tunnel et cela ne fonctionne pas garanti si une application malveillante initie la fuite en premier. La conclusion insiste sur l'installation d'applications de confiance uniquement et l'utilisation de dérivés Android axés sur la vie privée comme Graphene OS.