Bug su Android 16 mette a rischio la privacy delle VPN
Una vulnerabilità in Android 16 consente alle app di inviare dati fuori dal tunnel VPN, esponendo l'indirizzo IP reale degli utenti.
Una vulnerabilità recentemente scoperta in Android 16 compromette l'efficacia delle VPN, permettendo a qualsiasi app installata sul dispositivo di inviare traffico internet al di fuori del tunnel VPN. Questo può portare all'esposizione dell'indirizzo IP reale degli utenti, indipendentemente dalla VPN utilizzata o dalle impostazioni di sicurezza applicate.
Il problema nasce da un servizio di sistema chiamato ConnectivityManager, che consente alle app di inviare un messaggio finale ai server web anche quando una connessione termina. Sfortunatamente, questa funzione aggira completamente la VPN, trasmettendo i dati in chiaro e fuori dal canale protetto.
La vulnerabilità è stata segnalata tramite il Vulnerability Reward Program di Google, ma la risposta dell’azienda è stata quella di non intervenire, giudicando il rischio come esterno al proprio threat model. Secondo Google, il problema riguarda solo i dispositivi che installano app malevole, mentre Play Protect blocca le app già identificate come dannose. Tuttavia, app sconosciute e potenzialmente pericolose sono comunque riuscite in passato a superare i controlli e raggiungere milioni di utenti.
Le opzioni per mitigare la falla sono tecniche e poco accessibili, come l’uso di comandi debug, e possono essere annullate da futuri aggiornamenti del sistema. GrapheneOS ha già corretto la vulnerabilità, ma il cambio di sistema operativo resta una soluzione poco praticabile per la maggior parte degli utenti. Al momento non si registrano exploit attivi, ma gli esperti raccomandano la massima cautela nell’installazione di nuove app.
