Android 16 bug exposes IP addresses despite VPN usage

•此漏洞被命名為「Tiny UDP Cannon」，它利用了 Android 的 ConnectivityManager 服務中的一個設計缺陷，特別是 registerQuicConnectionClosePayload 方法。
•該漏洞允許惡意應用程式僅需基本的網路權限（如 INTERNET 和 ACCESS_NETWORK_STATE）即可繞過 VPN 保護，而無需任何可疑的額外權限。
•Google 的 Android 安全團隊已將此問題歸類為「無法修復 (Infeasible)」，並表示不會在安全公告中包含此漏洞的修復。
•專注於隱私的 Android 作業系統 GrapheneOS 已針對此漏洞發布了修補程式，證明該問題是可修復的。
•存在一個臨時緩解措施，用戶可以透過 ADB 命令 adb shell device_config put tethering close_quic_connection -1 來禁用易受攻擊的 QUIC 功能。

漏洞核心位於 Android 的 ConnectivityManager 系統服務中，特別是 registerQuicConnectionClosePayload 方法。
該方法旨在實現 QUIC 連接的優雅關閉，允許應用程式在關閉連接時發送一個最終的負載。
惡意應用程式可以利用此方法，將負載註冊到具有更高權限且不受 VPN 路由規則約束的 system_server 進程 (UID 1000)。
當應用程式退出或其 socket 被銷毀時，system_server 會透過設備的實體網路介面（例如 Wi-Fi）發送攻擊者控制的數據，完全繞過 VPN。
registerQuicConnectionClosePayload 方法缺乏適當的權限檢查、負載驗證以及對 VPN 鎖定策略的感知。
攻擊涉及建立一個直接綁定到設備 Wi-Fi IP 的 UDP socket，並透過原始 Binder 交易向 system_server 註冊攻擊者控制的負載。
根本原因在於 ConnectivityService.java 中，registerQuicConnectionClosePayload 方法在方法體、AIDL 定義或 SELinux 策略中均未包含權限檢查。
此漏洞已在運行 Android 16 的 Pixel 8 設備上成功測試，即使啟用了 Proton VPN 和鎖定模式也有效。

依賴 VPN 的 Android 16 用戶將面臨持續的隱私風險。

由於 Google 拒絕修復此漏洞，且該漏洞繞過了嚴格的 VPN 設定，用戶將無法完全信任其 VPN 保護。

第三方 Android 發行版（如 GrapheneOS）的採用率可能增加。

GrapheneOS 已修復此漏洞，這可能促使注重隱私的用戶轉向這些提供更及時安全更新的替代系統。

未來 Android 版本可能需要重新評估其網路堆疊設計和權限模型。

此漏洞揭示了核心系統服務中權限檢查的不足，可能促使 Google 在未來的開發中加強安全審查。

2025-09

Proton VPN 向 Google 報告 Android 16 中一個不同的 VPN 錯誤，該錯誤會導致 VPN 應用程式更新後網路堆疊損壞。

2026-03

多家 VPN 供應商（包括 Proton VPN、Mullvad、WireGuard、TunnelBear）公開報告 Android 16 中存在一個「靜默 VPN 殺手」錯誤，該錯誤會在 VPN 應用程式更新後悄悄中斷連接。

2026-04-12

安全研究員 0x33c0unt (Yusuf/lowlevel) 向 Google 的 Android 漏洞獎勵計畫報告了「Tiny UDP Cannon」VPN 繞過漏洞。

2026-04-18

Google 將「Tiny UDP Cannon」漏洞報告歸類為「無法修復 (Infeasible)」並關閉。

2026-05-07

專注於隱私的 Android 作業系統 GrapheneOS 發布了針對「Tiny UDP Cannon」漏洞的修補程式。

2026-05-12

「Tiny UDP Cannon」VPN 繞過漏洞被廣泛公開和報導。

Android 16 漏洞導致即便使用 VPN 仍會洩漏 IP 位址