概要
- GrapheneOSが新たなAndroid VPNバイパス脆弱性を修正
- 脆弱性は「Always-On VPN」「Block connections without VPN」有効時にもIP漏洩
- 問題はAndroid 16のQUIC接続終了機能に起因
- GrapheneOSは該当最適化を無効化し、攻撃ベクトルを遮断
- 最新リリースで追加のセキュリティパッチや機能強化も実施
GrapheneOSによるVPNバイパス脆弱性修正
- GrapheneOS が Android VPNバイパス脆弱性 を修正したアップデートを公開
- この脆弱性は ユーザーの実際のIPアドレス を漏洩する恐れ
- Always-On VPN や Block connections without VPN 有効時でも情報漏洩
- 問題は Android 16 の QUIC接続終了機能 に由来
- セキュリティ研究者 lowlevel/Yusuf による脆弱性の開示
- registerQuicConnectionClosePayload最適化 の無効化で攻撃ベクトル遮断
- 修正は Google Pixelデバイス 対応のGrapheneOSで有効
脆弱性の技術的詳細
- 脆弱なAPIは INTERNET および ACCESS_NETWORK_STATE のみで利用可能
- 任意のUDPペイロードを system_server に登録可能
- アプリのUDPソケット破棄時、 system_server が物理ネットワークインターフェースから直接送信
- system_server はVPN経路制限を受けず、VPNロックダウンを回避
- Pixel 8 ＋ Proton VPN ＋ロックダウンモードで実証
- アプリがVPN保護下でも 実IPアドレス を外部サーバへ漏洩
Googleの対応とGrapheneOSの独自対策
- Googleは「 Won’t Fix (Infeasible)」「 NSBC （Not Security Bulletin Class）」と判断
- 標準権限のみでネットワーク情報漏洩可能との指摘も却下
- 研究者による異議申し立て後、 2024年4月29日 に情報公開を許可
- GrapheneOS は該当最適化を完全に無効化（リリース 2026050400）
最新アップデートの追加内容
- 2026年5月Androidセキュリティパッチレベル へ更新
- hardened_malloc の改良
- Linuxカーネル （6.1、6.6、6.12各ブランチ）のアップデート
- libpng のCVE-2026-33636修正のバックポート
- Vanadiumブラウザ の新ビルド搭載
- Dynamic Code Loading制限 の拡張
一般Androidユーザーの対応策
- ADB 経由で close_quic_connection DeviceConfigフラグ を無効化し一時的な対策が可能
- ただし 開発者アクセス が必要で、今後のアップデートで無効化される可能性
GrapheneOSの特徴と利用者層
- プライバシー・セキュリティ重視 のAndroid系OS
- 主に Google Pixelデバイス 向けに開発
- プライバシー志向ユーザー、 ジャーナリスト、 活動家、 企業ユーザー に広く利用
- アプリサンドボックス強化、エクスプロイト緩和策、Google依存度低減が主な特徴
悪いビジネス理由があるのは分かるけど、どうしてVPNの漏洩を「セキュリティ問題じゃない」って分類できるのか、しかもプライドを保ったままで？