Очередная уязвимость Android при использовании ВПН⁠⁠

30 апреля 2026 года инженер по безопасности из Цюриха (как он себя называет) опубликовал в своём блоге lowlevel.fun статью об очередной уязвимости в Android.

TLDR (для ЛЛ, то бишь) На Android 16 любое приложение без специальных разрешений может раскрыть реальный IP-адрес пользователя, даже при постоянно включенном ВПН и блокировке соединений без ВПН. Теоретически, если эти две настройки активированы, все пакеты должны передаваться строго внутри впн-туннеля, но нет, есть способ это обойти.
Хитрость в том, что приложение само не отправляет пакет. Оно передает данные и адрес получателя процессу system_server (UID 1000, исключен из маршрутизации ВПН), а затем завершает работу. Через мгновение system_server открывает UDP-сокет на Wi-Fi-интерфейсе и отправляет данные получателю. ВПН их не видит. А вот получатель видит ваш реальный IP-адрес.

Временное решение:

Где-то пишут, мол, надо adb shell cmd device_config, но я сделал прямо из шелла и норм всё получилось.

А теперь самое забавное. Граждане из Mullvad VPN рассказали, что об этой уязвимости было сообщено Android Security Team, но тикет был закрыт как невыполнимый. После консультаций с автором первоначальной публикации, Mullvad VPN разместили тикет на Android Issue Tracker, но вскоре Гугл пометил этот тикет как недоступный.

Я просто погуглил команду, и вот итог:

В общем, теория заговора во всей красе: КОРПОРАЦИЯ СКРЫВАЕТ КРИТИЧЕСКУЮ УЯЗВИМОСТЬ! МЫ ВСЕ АПАСНАСТЕ!! А-А-А-А-А!!!

На самом деле всё не так страшно, конечно. Пока что это подтверждено только на одной сборке Android 16 (если я правильно понял) и только на телефоне Google Pixel.

Кому надо технических подробностей: в исходном посте на lowlevel.fun всё есть. Проблему уже обсуждают в твитторе. Способ проверки, актуальна ли уязвимость, описан на Гитхабе.