Vazamento recentemente descoberto em Android permite que qualquer aplicativo envie tráfego fora do túnel VPN, mesmo com "Bloquear conexões sem VPN" ativo. Aplicativo malicioso não precisa de permissão especial para realizar este ataque, expondo o endereço IP real do dispositivo para rastreamento ou vigilância potencial. O pesquisador reportou o problema ao Android Vulnerability Reward Program, mas foi fechado sem ação. Graphene OS está ciente e trabalhando em um conserto.

Detalhes técnicos revelam que a fuga explora conexões UDP keep-alive offloaded para chips de hardware Wi-Fi ou celular. Destinados à travessia NAT, uma aplicação maliciosa pode abusar disso para enviar pacotes UDP na porta 4500 a qualquer servidor. Estes pacotes contornam verificações VPN porque são enviados diretamente do hardware de rede.

Mullvad observa que a mitigação é teoricamente possível enchendo a capacidade keep-alive de hardware, mas eles não a implementarão pois ainda envia pacotes fora do túnel e não está garantido que funcione se uma aplicação maliciosa iniciar a fuga primeiro. A conclusão enfatiza instalar apenas aplicativos de confiança e usar derivados Android focados em privacidade como Graphene OS.