Обнаруженная утечка в Android позволяет любому приложению отправлять трафик за пределами VPN-туннеля, даже когда "Блокировать все соединения без VPN" активно. Злоумышленное приложение не требует особых разрешений для проведения этой атаки, раскрывая реальный IP-адрес устройства для возможного отслеживания или surveillance. Исследователь сообщил об этой проблеме в Android Vulnerability Reward Program, но она была закрыта без действия. Graphene OS в курсе и работает на исправление.

Технические детали раскрывают, что утечка эксплуатирует keep-alive UDP-соединения, переданные в аппаратный Wi-Fi или cellular чипы. Назначены для NAT-туннелирования, злоумышленное приложение может злоупотреблять этим, отправляя UDP-пакеты на порт 4500 на любой сервер. Эти пакеты обходят проверки VPN, так как отправляются напрямую из сетевого оборудования.

Mullvad отмечает, что теоретически mitigation возможна заполнением аппаратной емкости keep-alive, но они не будут реализовывать это, так как все равно отправляет пакеты за пределами туннеля и не гарантировано будет работать, если злоумышленник инициирует утечку первым. Вывод подчеркивает установку только доверенных приложений и использование Android-форков вроде Graphene OS, ориентированных на приватность.