Androidでトラフィックが漏洩する別の方法が発見される

Androidでトラフィックが漏洩する別の方法が発見される 2026年9月10日 プライバシー 新しく発見されたAndroidの脆弱性により、VPNトンネル外へのトラフィック送信が任意のアプリで可能になりました。 最近、Androidのネットワークスタックで新たな脆弱性が発見されました。これにより、悪意のあるアプリは「VPNなしの全接続をブロック」が有効な状態であっても、VPNトンネル外にトラフィックを送信できるようになります。トラフィックがトンネル外に漏洩すると、インターネット上で実際のIPアドレスが公開されることになり、追跡や監視に利用される可能性があります。 この攻撃を実行するために、悪意のあるアプリは特別な権限を必要としません。適切な修正には、Androidシステム自体の変更が必要です。この脆弱性を発見した研究者はAndroid Vulnerability Reward Programに問題を報告しましたが、研究者によると、問題はアクションなしでクローズされたとのことです。この問題は公にはなっていませんが、この情報に基づくと、Googleがこれに対処する可能性は低いと判断しています。GrapheneOSはこの問題について認識しており、修正に取り組んでいます。 技術的な詳細 この漏洩は、AndroidにハードウェアWi-FiまたはセルラーチップにオフロードされるキープアライブUDP接続を作成するように指示することに関係しています。この接続の意図された目的は、ネットワークアドレス変換（NAT）トラバーサルを支援することですが、悪意のあるアプリはこれを悪用して、インターネット上の任意のサーバーに対してポート4500でUDPパケットを送信できます。「VPNなしの全接続をブロック」が有効な場合、すべてのトラフィックがVPN接続を経由しなければならないというチェックを、これらのキープアライブUDPパケットはネットワークハードウェアから直接送信されるためバイパスし、デバイスの実際のIPアドレスを公開してしまいます。 緩和策 ネットワークハードウェアは、同時に保持できるキープアライブ接続の数に制限があるため、理論的な解決策としては、容量に達するまで独自のキープアライブ接続を作成する何らかのアプリケーションを使用することが考えられます。その後、悪意のあるアプリは独自の接続を作成できなくなります。Mullvadは現在、この理論的な緩和策を自社で提供する計画はありません。なぜなら、パケットはトンネル外、たとえMullvad所有のサーバーであっても送信されることになるからです。さらに、悪意のあるアプリがMullvadアプリを起動する前にすでに漏洩を開始している可能性があるため、このような緩和策が確実に機能するとは限りません。 結論 いつものように、最も重要なことは、信頼できるアプリのみをデバイスにインストールすること、そして（可能であれば）GrapheneOSのようなセキュリティとプライバシーに焦点を当てたAndroidフォークを使用することです。